超值优惠券
¥50
满100可用 有效期2天

全场图书通用（淘书团除外）

 
不再提示
关闭
图书盲袋，以书为“药”
每满100减50，满108送2025台历
欢迎光临中图网 请 | 注册
搜索
搜索全部
  • 搜索全部
  • 书名
  • 作者
  • 出版社
  • ISBN
高级搜索
我身体里的人造星星乡间的日常情感勒索神秘的黑猫
  • 合成诗经
  • 新人领礼券
  • 新用户注册领10元
中图网
>
计算机/网络
>
网络与数据通信
API安全实战
分享

API安全实战

作者：[美]尼尔·马登(Neil Madden
出版社：机械工业出版社出版时间：2022-07-01
开本： 16开 页数： 475
本类榜单：计算机/网络销量榜
中 图 价:¥104.3(7.0折) 定价  ¥149.0 登录后可看到会员价
加入购物车 收藏
运费6元，满39元免运费
?新疆、西藏除外
本类五星书更多>
中图价:¥104.3 加入购物车
洞明世事，从读书开始 淘书团

API安全实战 版权信息

API安全实战 本书特色

适读人群 ：没有安全编码和安全加密经验的读者；具有构建 RESTful API 经验的开发人员

API安全实战 内容简介

本书旨在引导读者掌握在不同环境下确保API安全所需的技术。首先介绍基本的安全编码技术，之后深入研究身份认证和授权技术。全书共5部分，13章，其中：第1部分介绍了API安全的基本原理，是本书其余内容的基础；第2部分更详细地介绍RESTful API的身份验证机制；第3部分介绍了授权（authorization）相关的内容；第4部分深入探讨了如何确保运行在Kubernetes环境下的微服务API的安全性；第5部分介绍物联网（IoT）中的API。这类API的安全尤其有挑战性，因为物联网设备的能力往往很有限，并且会遭遇到各种各样的威胁。对于构建Web程序有一定经验的开发人员来讲，本书可以提高他们对API安全技术和zui佳实践的了解，也有助于技术架构师紧跟zui新API安全方法技术更新的步伐。

API安全实战 目录

译者序
前言
致谢
关于本书
关于作者
**部分　基础
第1章　什么是API安全 2
1.1　打个比方：参加驾照考试 3
1.2　什么是API 4
1.3　API安全上下文 6
1.4　API安全要素 10
1.4.1　资产 11
1.4.2　安全目标 11
1.4.3　环境与威胁模型 13
1.5　安全机制 15
1.5.1　加密 16
1.5.2　身份识别和身份验证 17
1.5.3　访问控制和授权 18
1.5.4　审计日志 19
1.5.5　速率限制 20
小测验答案 21
小结 21
第2章　安全API开发 22
2.1　Natter API 22
2.1.1　Natter API概览 23
2.1.2　功能实现概览 24
2.1.3　设置项目 25
2.1.4　初始化数据库 26
2.2　开发REST API 28
2.3　连接REST终端 31
2.4　注入攻击 33
2.4.1　防御注入攻击 37
2.4.2　使用权限缓解SQL注入攻击 39
2.5　输入验证 40
2.6　生成安全的输出 45
2.6.1　利用XSS攻击 47
2.6.2　防御XSS攻击 49
2.6.3　实施防护 50
小测验答案 52
小结 53
第3章　加固Natter API 54
3.1　使用安全控制来处置威胁 54
3.2　速率限制解决可用性 55
3.3　使用身份验证抵御欺骗 61
3.3.1　HTTP基本身份验证 62
3.3.2　使用Scrypt确保密码安全存储 62
3.3.3　创建密码数据库 63
3.3.4　在Natter API中注册用户 64
3.3.5　验证用户 66
3.4　使用加密确保数据不公开 68
3.4.1　启用HTTPS 70
3.4.2　加强数据传输安全 71
3.5　使用审计日志问责 72
3.6　访问控制 77
3.6.1　强制身份验证 78
3.6.2　访问控制列表 79
3.6.3　Natter的强制访问控制 81
3.6.4　Natter空间增加新成员 83
3.6.5　避免提权攻击 84
小测验答案 85
小结 85
第二部分　基于令牌的身份验证
第4章　会话Cookie验证 88
4.1　Web浏览器的身份验证 88
4.1.1　在JavaScript中调用Natter API 89
4.1.2　表单提交拦截 91
4.1.3　提供同源HTML服务 91
4.1.4　HTTP认证的缺点 94
4.2　基于令牌的身份验证 95
4.2.1　令牌存储抽象 97
4.2.2　基于令牌登录的实现 98
4.3　Session Cookie 100
4.3.1　防范会话固定攻击 103
4.3.2　Cookie安全属性 105
4.3.3　验证会话Cookie 107
4.4　防范跨站请求伪造攻击 109
4.4.1　SameSite Cookie 111
4.4.2　基于哈希计算的双重提交Cookie 113
4.4.3　在Natter API中应用双重提交Cookie 116
4.5　构建Natter登录UI 121
4.6　实现注销 125
小测验答案 127
小结 127
第5章　*新的基于令牌的身份验证 128
5.1　使用CORS允许跨域请求 128
5.1.1　预检请求 129
5.1.2　CORS头 131
5.1.3　在Natter API中添加CORS头部 132
5.2　不使用Cookie的令牌 135
5.2.1　在数据库中保存令牌的状态 136
5.2.2　Bearer身份验证方案 141
5.2.3　删除过期令牌 143
5.2.4　在Web存储中存储令牌 143
5.2.5　修改CORS过滤器 146
5.2.6　对Web存储的XSS攻击 147
5.3　加固数据库令牌存储 149
5.3.1　对数据库令牌进行哈希计算 150
5.3.2　使用HMAC验证令牌 151
5.3.3　保护敏感属性 156
小测验答案 158
小结 159
第6章　自包含令牌和JWT 160
6.1　在客户端存储令牌状态 160
6.2　JSON Web令牌 163
6.2.1　标准JWT声明 165
6.2.2　JOSE头部 166
6.2.3　生成标准的JWT 168
6.2.4　验证签名JWT 171
6.3　加密敏感属性 172
6.3.1　认证加密 173
6.3.2　NaCl认证加密 175
6.3.3　加密JWT 177
6.3.4　使用JWT库 180
6.4　使用安全类型来加固API设计 183
6.5　处理令牌撤销 185
小测验答案 189
小结 189
第三部分　授权
第7章　OAuth2和OpenID Connect 192
7.1　作用域令牌 193
7.1.1　在Natter中添加作用域令牌 193
7.1.2　作用域和权限之间的区别 197
7.2　OAuth2简介 200
7.2.1　客户端类型 201
7.2.2　授权许可 201
7.2.3　发现OAuth2终端 203
7.3　授权码许可 204
7.3.1　重定向不同类型客户端的URI 208
7.3.2　使用PKCE增强授权码交换安全性 209
7.3.3　刷新令牌 210
7.4　验证访问令牌 211
7.4.1　令牌自省 212
7.4.2　确保HTTPS客户端配置安全 217
7.4.3　令牌撤销 219
7.4.4　JWT访问令牌 221
7.4.5　加密JWT访问令牌 227
7.4.6　让AS解密令牌 228
7.5　单点登录 229
7.6　OpenID Connect 230
7.6.1　ID令牌 231
7.6.2　加固OIDC 232
7.6.3　向API传递ID令牌 233
小测验答案 235
小结 235
第8章　基于身份的访问控制 237
8.1　用户和组 237
8.2　基于角色的访问控制 243
8.2.1　角色映射权限 244
8.2.2　静态角色 245
8.2.3　确定用户角色 247
8.2.4　动态角色 248
8.3　基于

展开全部

API安全实战 作者简介

尼尔·马登，ForgeRock的安全总监，他对应用密码学、应用程序安全和近期新的API安全技术有深入的了解。他有20年的软件开发经验，拥有计算机科学博士学位。

商品评论(0条)
写书评 赚书币
暂无评论……
书友推荐
本类畅销
编辑推荐
返回顶部
新手上路
新用户指引
注册用户 更改注册信息
购物常见问题
关于特价书的常见问题
购买问题
订单跟踪
付款方式
账户余额  申请提现
配送方式及费用、范围
集团购买
售后服务
退换货流程
投诉与建议
特色服务
会员等级与书币
中图网书馨卡
邀请好友购买返10元礼包
其他信息
本站简介
联系我们
招聘英才
网站联盟
友情链接
微信公众号
中图网微信
中图网微博
中图网微博
手机中图网
手机中图网
中图网
诚信认证 电子商务诚信单位认证

京ICP备09013606号-3京信市监发[2002]122号海淀公安分局备案编号：1101083394

营业执照出版物经营许可证 京出发京批字第直110071

在线客服