公交车上荫蒂添的好舒服的电影-公用玩物(np双xing总受)-公用小荡货芊芊-公与妇仑乱hd-攻把受做哭边走边肉楼梯play-古装一级淫片a免费播放口

概述

通過為我們的合作伙伴提供互聯(lián)網(wǎng)開發(fā)接口從而輸出我們的業(yè)務能力和技術能力。外部用戶通過互聯(lián)網(wǎng)渠道，調用我們的應用程序接口，獲取我們的能力，如下圖所示

   應用程序接口服務層將應用方請求轉發(fā)至業(yè)務系統(tǒng)處理，并將處理結果反饋應用方或用戶，包含認證鑒權、流量控制、監(jiān)控分析、報文交換、服務組合等功能，不涉及具體業(yè)務邏輯處理，實現(xiàn)對應用程序接口和應用方的管理。

接口類型

1. 服務端對服務端集成方式
1. 應用方服務端使用我們提供的服務端 SDK，間接訪問應用程序接口。服務端SDK封裝通用接入算法不包含業(yè)務邏輯，以降低應用方接入開發(fā)難度
2. 應用方服務端以REST、SOAP 協(xié)議的方式直接調用我們的應用程序接口

1. 移動終端對服務端集成方式
1. 應用方移動終端應用軟件使用我們提供的移動終端應用 SDK，間接訪問我們的應用程序
   接口。移動端SDK除封裝接入算法外還可以封裝密碼數(shù)據(jù)的安全加固
2. 應用方移動終端應用軟件直接調用應用程序接口

安全等級

我們可以按照是否與用戶直接關聯(lián)來對接口的安全進行等級分類，我們把與用戶直接關聯(lián)的接口的安全等級定義為A2級；與用戶無直接關聯(lián)的接口的安全等級定義為A1級

比如

• A2級的接口

  支付、轉賬、賬戶余額、交易歷史、賬戶限額

• A1級的接口

  產品和服務信息查詢應用類

身份認證安全設計

對于應用方身份認證應使用的驗證要素包括

• App_ID：應用唯一標識（Application unique ID）

• App_Secret：應用鑒別密文（Application Secret）

• 數(shù)字證書：

• 公私鑰對

對于 A2 級別接口、應用方身份認證時，應使用包含數(shù)字證書或公私鑰對的方式進行雙向身份認證

交互安全設計

1. 有效性驗證，如接口版本、參數(shù)格式

1. 交互數(shù)據(jù)的完整性進行保護，對應A2級別的接口應用方應使用數(shù)字簽名來保證數(shù)據(jù)的完整性和不可抵賴性

1. 其他安全措施
1. 清除臨時文件、內存的敏感信息
2. 加密
3. 防鍵盤竊聽
4. 自定義軟鍵盤
5. 防截屏

授權管理

應根據(jù)不同應用方的服務需求，按照最小授權原則，對其相應接口權限進行授權管理，當服務需求變更時，需及時評估和調整接口權限

攻擊防護

安全監(jiān)控

應對接口使用情況進行監(jiān)控，完整記錄接口訪問日志。相關日志應至少包括交易流水號、應用唯一標識、接口唯一標識、調用耗時、時間戳、返回結果（成功或失敗）等；

應用方接口日志中應以部分屏蔽的方式記錄敏感信息，除此之外的個人融信息不應在應用方接口日志中進行記錄

密鑰管理

加密和簽名宜分配不同的密鑰，且相互分離。

不應以編碼的方式將私鑰明文（或密文）編寫在應用程序相關代碼中，App_Secret或私鑰不應存儲于應用方本地配置文件中，防止因代碼泄露引發(fā)密鑰泄露。

應依據(jù)行應用程序接口等級設置不同的密鑰有效期，并對密鑰進行定期更新。

安全部署

  應用程序接口和應用方都應在互聯(lián)網(wǎng)邊界部署如防火墻、IDS/IPS、DDoS防護等具備訪問控制、入侵防范相關安全防護能力的網(wǎng)絡安全防護措施。