請求合法性校驗：

　　請求合法性校驗主要就是指如何避免API被非法的調用，比如系統里面有一個短信接口，就要考慮如何避免這個短信接口不被短信轟炸機濫用，可以采用的方式有以下幾種：

　　1.驗證碼，驗證碼主要用于防范惡意注冊、惡意破解密碼、惡意灌水等非法操作，驗證碼可以使用Google的CAPTCHA解決方案。

　　2.Token令牌，Token主要用于自動登錄，也就是在不需要用戶頻繁登錄的情況下保證訪問的合法性。常見的流程是使用用戶名和密碼登陸后，服務端返回一個token，后續客戶端每次方法都帶上這個token，當這個token超過一定的時間（token有效期）沒有被使用，則要求客戶端重新輸入用戶名和密碼重新獲取token，服務端也通過請求的IP地址等一些信息判斷客戶端的網絡環境和設備環境是否發生變化，如果發生變化，也要求客戶端重新輸入用戶名和密碼，重新獲取token。

　　3.IP、MAC地址限制，只允許某一個MAC地址、IP或IP段的客戶端進行訪問請求，只能一定程度上起到防范作用。

　　4.User-Agent和Referer限制，只能一定程度上起到防范作用。

　　數據合法性校驗：數據合法性的校驗主要是為了避免異常數據和注入攻擊。

　　1.不依賴客戶端的數據校驗，不管客戶端有沒有進行數據校驗，服務端都要做合法性校驗。

　　2.用白名單的方式驗證數據合法性，也就是根據一系列已知的正確值或規則來驗證請求數據，不嘗試檢驗某些特定的錯誤。

　　數據加密：數據加密主要是指對敏感數據進行加密，避免因網絡傳輸過程中的竊聽和抓包造成敏感數據泄露，常見方法主要由：

　　1.使用HTTPS協議。

　　2.對敏感數據采用秘鑰進行加密和解密。

　　接口錯誤處理：接口錯誤處理主要是值對接口的返回結果進行編碼，制定統一的錯誤返回編碼，避免因接口錯誤和異常等原因造成堆棧信息泄露。

　　接口過載保護：接口過載保護是指對接口訪問頻率設置閾值，超出閾值后不予處理，直接返回錯誤碼，可以一定程度上防止CC攻擊，過載保護可以通過Web服務器進行控制，也可以通過代碼進行控制。

　　1.Nginx可以通過HttpLimitReqModul來限制單位時間內連接數的模塊，使用limit_req_zone和limit_req指令配合使用來達到限制。一旦并發連接超過指定數量，就會返回503錯誤。HttpLimitConnModul用來限制單個ip的并發連接數，使用limit_zone和limit_conn指令這兩個模塊的區別前一個是對一段時間內的連接數限制，后者是對同一時刻的連接數限制。

　　2.可以通過代碼的方式來判斷，最好基于Redis計數器或者服務端緩存，避免對性能造成影響。