超碰人人人人人,亚洲AV午夜福利精品一区二区,亚洲欧美综合区丁香五月1区,日韩欧美亚洲系列

概述

通過為我們的合作伙伴提供互聯(lián)網(wǎng)開發(fā)接口從而輸出我們的業(yè)務(wù)能力和技術(shù)能力。外部用戶通過互聯(lián)網(wǎng)渠道，調(diào)用我們的應(yīng)用程序接口，獲取我們的能力，如下圖所示

   應(yīng)用程序接口服務(wù)層將應(yīng)用方請求轉(zhuǎn)發(fā)至業(yè)務(wù)系統(tǒng)處理，并將處理結(jié)果反饋應(yīng)用方或用戶，包含認(rèn)證鑒權(quán)、流量控制、監(jiān)控分析、報文交換、服務(wù)組合等功能，不涉及具體業(yè)務(wù)邏輯處理，實現(xiàn)對應(yīng)用程序接口和應(yīng)用方的管理。

接口類型

1. 服務(wù)端對服務(wù)端集成方式
1. 應(yīng)用方服務(wù)端使用我們提供的服務(wù)端 SDK，間接訪問應(yīng)用程序接口。服務(wù)端SDK封裝通用接入算法不包含業(yè)務(wù)邏輯，以降低應(yīng)用方接入開發(fā)難度
2. 應(yīng)用方服務(wù)端以REST、SOAP 協(xié)議的方式直接調(diào)用我們的應(yīng)用程序接口

1. 移動終端對服務(wù)端集成方式
1. 應(yīng)用方移動終端應(yīng)用軟件使用我們提供的移動終端應(yīng)用 SDK，間接訪問我們的應(yīng)用程序
   接口。移動端SDK除封裝接入算法外還可以封裝密碼數(shù)據(jù)的安全加固
2. 應(yīng)用方移動終端應(yīng)用軟件直接調(diào)用應(yīng)用程序接口

安全等級

我們可以按照是否與用戶直接關(guān)聯(lián)來對接口的安全進(jìn)行等級分類，我們把與用戶直接關(guān)聯(lián)的接口的安全等級定義為A2級；與用戶無直接關(guān)聯(lián)的接口的安全等級定義為A1級

比如

• A2級的接口

  支付、轉(zhuǎn)賬、賬戶余額、交易歷史、賬戶限額

• A1級的接口

  產(chǎn)品和服務(wù)信息查詢應(yīng)用類

身份認(rèn)證安全設(shè)計

對于應(yīng)用方身份認(rèn)證應(yīng)使用的驗證要素包括

• App_ID：應(yīng)用唯一標(biāo)識（Application unique ID）

• App_Secret：應(yīng)用鑒別密文（Application Secret）

• 數(shù)字證書：

• 公私鑰對

對于 A2 級別接口、應(yīng)用方身份認(rèn)證時，應(yīng)使用包含數(shù)字證書或公私鑰對的方式進(jìn)行雙向身份認(rèn)證

交互安全設(shè)計

1. 有效性驗證，如接口版本、參數(shù)格式

1. 交互數(shù)據(jù)的完整性進(jìn)行保護(hù)，對應(yīng)A2級別的接口應(yīng)用方應(yīng)使用數(shù)字簽名來保證數(shù)據(jù)的完整性和不可抵賴性

1. 其他安全措施
1. 清除臨時文件、內(nèi)存的敏感信息
2. 加密
3. 防鍵盤竊聽
4. 自定義軟鍵盤
5. 防截屏

授權(quán)管理

應(yīng)根據(jù)不同應(yīng)用方的服務(wù)需求，按照最小授權(quán)原則，對其相應(yīng)接口權(quán)限進(jìn)行授權(quán)管理，當(dāng)服務(wù)需求變更時，需及時評估和調(diào)整接口權(quán)限

攻擊防護(hù)

安全監(jiān)控

應(yīng)對接口使用情況進(jìn)行監(jiān)控，完整記錄接口訪問日志。相關(guān)日志應(yīng)至少包括交易流水號、應(yīng)用唯一標(biāo)識、接口唯一標(biāo)識、調(diào)用耗時、時間戳、返回結(jié)果（成功或失敗）等；

應(yīng)用方接口日志中應(yīng)以部分屏蔽的方式記錄敏感信息，除此之外的個人融信息不應(yīng)在應(yīng)用方接口日志中進(jìn)行記錄

密鑰管理

加密和簽名宜分配不同的密鑰，且相互分離。

不應(yīng)以編碼的方式將私鑰明文（或密文）編寫在應(yīng)用程序相關(guān)代碼中，App_Secret或私鑰不應(yīng)存儲于應(yīng)用方本地配置文件中，防止因代碼泄露引發(fā)密鑰泄露。

應(yīng)依據(jù)行應(yīng)用程序接口等級設(shè)置不同的密鑰有效期，并對密鑰進(jìn)行定期更新。

安全部署

  應(yīng)用程序接口和應(yīng)用方都應(yīng)在互聯(lián)網(wǎng)邊界部署如防火墻、IDS/IPS、DDoS防護(hù)等具備訪問控制、入侵防范相關(guān)安全防護(hù)能力的網(wǎng)絡(luò)安全防護(hù)措施。