防止API被惡意呼叫

一、身份鑑定。這個可以使用Oauth2.0規範，或者帶有不對稱金鑰加密的token，選擇JWT等形式,配合身份鑑定系統來保證。

二、內容防篡改。可以使用數字簽名演算法來進行雜湊校驗，強制HTTPS通訊。最新的系統可以考慮http/2。

三、 DDoS 攻擊。通過設定防火牆， 控制API呼叫頻. 率，例如協議的rate- -limit 等設定來進行溝通和控制。

四、注入攻擊。這個需要從輸入校驗、編解碼、輸入過濾和轉化方面著手，主流框架都有基本的防注入設計。

五、同源策略。通過正確的配置CORS來防止異常呼叫，但是隻對瀏覽器有效。對於移動端可以通過分發證書或者token來驗證有效的呼叫來源，加簽名驗證

六、中間人攻擊。這個貌似沒有想到太好的辦法，只能在呼叫端提示使用者處於不安全網路，有攻擊風險而自行規避。

1，閘道器限流，大量惡意攻擊應該遮蔽進入伺服器之前
2，c端設定token過期時間
3，增加吞吐量