如何为不是来自 tyk 的呼叫保护远程 api？

Posted 2023-03-08

【中文标题】如何为不是来自 tyk 的呼叫保护远程 api？

【英文标题】：How to secure remote api for calls not coming from tyk?

【发布时间】：2017-07-22 07:53:34

【问题描述】：

我想知道保护远程 api 以供 tyk 使用的最佳方法是什么。

让我解释一下：

当由代理 tyk 完成调用时，它是安全的，因为它需要一个令牌或其他。

现在，如果我想直接调用远程 API 而不通过 tyk 代理，则会出现问题，因为不需要令牌或其他。

【问题讨论】：

也许您能解释一下您心目中的“安全”类型？你的问题非常模糊......

我想要一个安全性，我们只能通过代理 tyk 访问远程 api。

这是一个仅限网络/防火墙的问题，与编程或 Go 无关。还是我误解了你的问题？

我认为需要配置一件事，使控制 tyk 服务器的攻击者无法访问远程 api。通过安装防火墙，攻击者可以访问 api。

所以我们在这里谈论神奇的奇迹:-)

【参考方案1】：

执行此操作的最简单方法可能是在网络级别，主要是通过在防火墙中将 Tyk 实例的 IP 列入白名单并阻止所有其他流量。只有这样，通过 Tyk 发送的流量才能访问您的上游 API。

另一种保护 API 访问安全的方法是将标头注入通过 Tyk 发送的请求中，以便执行检查以确保收到的任何请求都包含正确的标头。