API安全（三）：API安全技术栈

API从最初的类库型API发展到如今的Web型API，在信息系统中与内外的相互关系也发生了翻天覆地的变化。如今，我们所关注的API安全，通常是指Web API安全。下图是端到端API通信时关键安全技术的示意图：

从上图我们可以看到，当用户通过浏览器或移动端调用API访问后端服务时，除了通信链路使用HTTPS协议之外，从前端到后端还会有速率控制、身份鉴别、授权访问控制、消息保护、审计监控等安全机制。在实际应用中，各种安全机制是糅杂在一起使用的，并非像这张图分开表述，这样表述是为了说清楚其中涉及的安全机制。 把这些安全机制对应到具体的安全技术上，就可以得到API的安全技术栈，具体如下图所示：

WAF和API网关是API安全的基础套件，为API安全提供综合的安全支撑能力；OpenID Connect套件和OAuth 2.0套件提供API身份认证和鉴权的解决方案；审计套件、JSON套件和XML套件为API的提供消息保护和安全审计技术。