开发者社区

文档建议反馈控制台

最新优惠活动

文章/答案/技术大牛

发布

从后端发出HTTP请求，从外部发出安全API密钥？

从后端发出HTTP请求，从外部发出安全API密钥是一种常见的安全机制，用于保护云计算系统中的敏感数据和资源。下面是对这个问题的完善且全面的答案：

从后端发出HTTP请求：当后端需要与其他系统或服务进行通信时，可以通过发出HTTP请求来实现。HTTP请求是一种客户端-服务器通信协议，用于在Web上发送和接收数据。后端可以使用各种编程语言和框架来发出HTTP请求，例如Java的HttpClient库、Python的requests库等。通过HTTP请求，后端可以获取其他系统的数据、调用其他系统的功能或者将数据传输给其他系统。

从外部发出安全API密钥：为了确保通信的安全性，许多云计算服务提供商要求在发出API请求时使用安全API密钥进行身份验证和授权。API密钥是一种用于标识和验证API请求的机密字符串。通过使用API密钥，云计算服务提供商可以确保只有经过授权的应用程序或用户才能访问其服务。

为了保护API密钥的安全性，以下是一些推荐的做法：

将API密钥存储在安全的地方，例如安全的密钥管理系统或环境变量中，避免明文存储在代码或配置文件中。
限制API密钥的访问权限，仅授权需要使用API密钥的应用程序或用户可以访问。
定期轮换API密钥，以减少密钥泄露的风险。
使用HTTPS协议进行API请求，以确保通信的加密和安全性。

对于腾讯云相关产品和产品介绍链接地址，以下是一些推荐的产品和链接：

腾讯云API网关：提供了一种简单、灵活、可靠的方式来发布、维护、监控和安全地管理API。了解更多：https://cloud.tencent.com/product/apigateway
腾讯云密钥管理系统（KMS）：用于管理和保护API密钥、证书、密码等敏感数据。了解更多：https://cloud.tencent.com/product/kms
腾讯云访问管理（CAM）：用于管理和控制用户对腾讯云资源的访问权限。了解更多：https://cloud.tencent.com/product/cam
腾讯云SSL证书服务：提供了一种简单、快速、经济高效的方式来获取和管理SSL证书，用于保护网站和应用程序的安全通信。了解更多：https://cloud.tencent.com/product/ssl

相关搜索:如何从TypeScript发出HTTP请求如何从Chrome扩展向api发出http请求从flask服务发出异步HTTP请求如何从xml soap发出http请求？从NodeJS向REST API发出请求从Scrapy Pipeline发出非阻塞HTTP请求如何从RabbitMQ message - nodejs发出http请求在api端点内发出http请求如何从HTTPS WebSite向LocalNetwork发出HTTP请求？从邮递员发出HTTP请求时出错从JavaScript发出API调用使用Chef向Openshift API发出HTTP请求从get请求中发出get请求如何从flutter app向localhost发出http get请求？Angular:从ErrorHandler发出Post请求？从Rails发出SOAP / XML请求从HTML发出Api后调用在Wordpress中向外部API发出POST请求如何在Flutter中发出多个http API请求？无法从iOS/Android模拟器(IONIC/Capacitor)向节点/express后端发出HTTP请求

相关搜索:

页面内容是否对你有帮助？

有帮助

没帮助

相关·内容

API安全综述

APIs是访问一个组织功能和数据的入口，但无意间暴露的API可能会对组织的数字资产造成相当大的破环，同时有可能泄露敏感信息。因此，在实现数字化转型项目时，需要重点考虑APIs的安全性。

02

面试官别再问我HTTP了

如果证书验证没问题，就从证书中取出服务器的公钥，然后使用它加密报文，向服务器发送以下信息：

02

「微服务架构」部署NGINX Plus作为API网关，第1部分

现代应用程序体系结构的核心是HTTP API。HTTP使应用程序能够快速构建并轻松维护。无论应用程序的规模如何，HTTP API都提供了一个通用接口，从单用途微服务到无所不包的整体。通过使用HTTP，支持超大规模Internet属性的Web应用程序交付的进步也可用于提供可靠和高性能的API交付。

02

【Rust日报】2023-06-14 prometheus 官方 rust_client 使用示例

promethes 是我们常用的监控系统之一，下面是一个使用 rust_client 的🌰:

01

云的声音｜浅谈云上攻防之——元数据服务带来的安全挑战

前言在针对云上业务的的攻击事件中，很多攻击者将攻击脆弱的元数据服务作为攻击流程中重要的一个环节并最终造成了严重的危害。以2019年的美国第一资本投资国际集团（CapitalOne）信息泄露事件举例，根据《ACase Study of the Capital One Data Breach》报告指出，攻击者利用CapitalOne部署在AWS云上实例中的SSRF漏洞向元数据服务发送请求并获取角色的临时凭证，在获取角色临时凭据后将该角色权限下的S3存储桶中的数据复制到攻击者的本地机器上，最终导致这一

02

剥开比原看代码09：通过dashboard创建密钥时，前端的数据是如何传到后端的?

Gitee地址：https://gitee.com/BytomBlockchain/bytom

01

刘敏洁：API网关和SCF深度结合应用

这次我们主要介绍面向于API网关和SCF深度结合应用，API网关与SCF结合可以形成比较完整的Serverless方案。

05

研究人员攻破 AMD 的虚拟机加密防线！

德国研究人员认为，他们已设计出一种方法，可攻破AMD的Epyc服务器芯片用来自动加密内存中虚拟机的安全机制。

02

如何设计一个牛逼的API接口

在日常开发中，总会接触到各种接口。前后端数据传输接口，第三方业务平台接口。一个平台的前后端数据传输接口一般都会在内网环境下通信，而且会使用安全框架，所以安全性可以得到很好的保护。这篇文章重点讨论一下提供给第三方平台的业务接口应当如何设计？我们应该考虑哪些问题？

02

如何设计一个牛逼的API接口（技术创作101训练营）

在日常开发中，总会接触到各种接口。前后端数据传输接口，第三方业务平台接口。一个平台的前后端数据传输接口一般都会在内网环境下通信，而且会使用安全框架，所以安全性可以得到很好的保护。这篇文章重点讨论一下提供给第三方平台的业务接口应当如何设计？我们应该考虑哪些问题？

微服务之服务调用与安全控制

近年来，大多数企业IT软件均在向微服务架构转型，由于微服务架构采用了更细粒度的分布式拆分，对于服务调用安全方面的问题更复杂，更需要重视，需要整体的系统化解决方案。本文将分享普元EOS8.0版本的服务调用安全控制方案，希望能够对需要搭建微服务平台的企业和人员能够带来一些启发和帮助。

03

使用 Nginx Ingress 和 APISIX 实现 Kubernetes 集群中的流量路由和跨域请求处理

Kubernetes (k8s) 集群,默认配置好了 Nginx Ingress 控制器，用于处理南北流量的调度，即处理从外部到集群内部服务的流量。下面是对您的架构的重新组织和概述：

00

REST API面临的7大安全威胁

近年来，互联网上安全漏洞显著增多。互联网安全的话题也被技术博客和论坛讨论得越来越频繁:安全性非常重要，尤其是在REST API的世界中。

02

Web Security 之 SSRF

在本节中，我们将解释 server-side request forgery（服务端请求伪造）是什么，并描述一些常见的示例，以及解释如何发现和利用各种 SSRF 漏洞。

02

Kubernetes基础：Service

我们通过Pod、Deployment等可以将应用发布到Kubernetes平台中，但是如果我们如何才能访问我们部署的应用呢？有一个办法就是通过节点的IP加上节点的端口来访问这个节点上的容器应用，但是如果我们有多个跨节点的相通应用时该怎么办呢？特别是应用发生扩容、缩容时应该如何处理，这时我们就需要利用Service来实现。

02

kong 简明介绍「建议收藏」

kong 官方文档： https://docs.konghq.com/getting-started-guide/2.4.x/overview/ https://docs.konghq.com/enterprise/2.4.x/admin-api/#service-object

03

高端黑科技系列一：新一代微服务与新一代API管理的集成

版权说明：本文书写过程中参照了红帽的技术文档；本系列文章中的部分测试代码为红帽公司版权所有，因此不能提供源码文件。

03

Spring·JWT

JWT 是 JSON WEB TOKEN 的缩写，它是基于 RFC 7519 标准定义的一种可以安全传输的的 JSON 对象，由于使用了数字签名，所以是可信任和安全的。

03

8种至关重要OAuth API授权流与能力

在本文中，Curity的Daniel Lindau概述了重要的OAuth授权流程和能力。

01

JWT 身份认证优缺点分析以及常见问题解决方案

相比于 Session 认证的方式来说，使用 token 进行身份认证主要有下面三个优势：

02

JWT 还能这样的去理解嘛？？

JWT （JSON Web Token）是目前最流行的跨域认证解决方案，是一种基于 Token 的认证授权机制。从 JWT 的全称可以看出，JWT 本身也是 Token，一种规范化之后的 JSON 结构的 Token。

01

Node.js 安全最佳实践

最近 Node.js 团队在官方文档上公布了一份最新的安全实践，解读了一些 Node.js 服务下一些常见的攻击场景以及预防手段，我们一起来看看吧！

02

互联网公司常用架构模式梳理

进程外的代理服务（很多框架层面的事情可以以软件框架的形式寄宿在进程内，也可以以独立的代理形式做一个网络中间件）。这里的大使模式意思就是这么一个网络代理进程，用于和远端的服务进行通讯，完成下面的工作：

02

FA5# 网关拓扑结构与功能设计归纳

后端服务通过网关向终端推送消息时，需要知道终端与网关哪台机器建立的长连接，通常两种方向：

03

认证授权

Authentication（认证）是验证您的身份的凭据（例如用户名/用户 ID 和密码），通过这个凭据，系统得以知道你就是你，也就是说系统存在你这个用户。

01

【面试题】HTTP知识点整理(附答案)

HTTP/1 的几种优化可以弃用: 合并文件、内联资源、雪碧图、域名分片对于 HTTP/2 来说是不必要的，使用 h2 尽可能将资源细粒化，文件分解地尽可能散，不用担心请求数多

03

JSON Web Token(JWT)教程：一个基于Laravel和AngularJS的例子

这是一篇介绍JSON Web Token(JWT)的文章，虽然可能用到的例子和Laravel和AngularJS有关，但知道了原理便能写出适用于自己的。同时，由于目前个人用的后台一直是java，前端也没用过AngularJS，vue也是最近才开始学，所以Laravel和AngularJS部分并不十分了解，若有错误，欢迎及时提出。

01

使用Cilium增强Istio|通过Socket感知BPF程序

8月1日凌晨，Istio 1.0发布，已生产就绪！ Cilium社区感谢所有Istio贡献者为此付出的巨大努力。我们很幸运能够参与社区活动，为Istio做出贡献，并帮助一些用户通过Istio和Cilium进行生产部署。如果您有兴趣在深入了解技术细节之前了解Istio + Cilium的用户故事，请考虑阅读HP FitStation团队（最大的Cilium + Istio用户之一）发布的以下Istio博客: Istio是惠普FitStation平台的游戏规则的改变者。

04

如何在纯 JavaScript 中使用 GraphQL

除了 REST 以外，很多 API 都开始支持 GraphQL，甚至完全支持它了。但是，如果你需要使用一个 GraphQL API，你很自然就会想到自己需要使用 React 和 / 或其他一些库才能让它跑起来。这是因为许多教程和示例代码似乎都基于这样一个假设，也就是说如果你在使用 GraphQL，就需要使用这些库。

01

Kubernetes Gateway API

初始的 Kubernetes 内部服务向外暴露，使用的是自身的 LoadBlancer 和 NodePort 类型的Service，在集群规模逐渐扩大的时候，这种 Service 管理的方式满足不了我们的需求，比如 NodePort 需要大量的端口难以维护，多了一层NAT，请求量大会对性能有影响；LoadBlancer 需要每个 Service 都有一个外部负载均衡器。接着 Kubernetes 提供了一个内置的资源对象 Ingress API 来暴露 HTTP 服务给外部用户，它的创建是为了标准化的将 Kubernetes 中的服务流量暴露给外部，Ingress API 通过引入路由功能，克服了默认服务类型 NodePort 和 LoadBalancer 的限制。在创建 Ingress 资源的时候通过 IngressClass 指定该网关使用的控制器，主要是靠 Ingress 控制器不断监听 Kubernetes API Server 中 IngressClass 以及 Ingress 资源的的变动，配置或更新入口网关和路由规则。IngressClass实现了网关与后台的解耦，但也有着很多的局限性。Ingress 配置过于简单，只支持 http 和 https 协议的服务路由和负载均衡，缺乏对其他协议和定制化需求的支持，而且 http 路由只支持 host 和 path 的匹配，对于高级路由只能通过注解来实现，当然这取决于 Ingress 控制器的实现方式，不同的 Ingress 控制器使用不同的注解，来扩展功能，使用注解对于 Ingress 的可用性大打折扣；路由无法共享一个命名空间的网关，不够灵活；网关的创建和管理的权限没有划分界限，开发需要配置路由以及网关。当然也有很多第三方的网关组件，例如 istio 和 apisix 等，提供了丰富的流量管理功能，如负载均衡、动态路由、动态 upstream、A/B测试、金丝雀发布、限速、熔断、防御恶意攻击、认证、监控指标、服务可观测性、服务治理等，还可以处理南北流量以及服务之间的东西向流量。对外提供路由功能，对内提供流量筛选，已经很好的满足了当下网络环境的所有需求。但对于小集群来说，这两个网关的部署成本有点高；而且太多类型的网关，不同的配置项、独立的开发接口、接口的兼容性、学习成本、使用成本、维护成本以及迁移成本都很高。急需一种兼容所有厂商 API 的接口网关。所以应运而生，Kubernetes 推出了 Gateway API。Gateway API 是 Kubernetes 1.19 版本引入的一种新的 API 规范，会成为 Ingress 的下一代替代方案。它有着 Ingress 的所有功能，且提供更丰富的功能，它支持更多的路由类型选择，除了 http路由外，还支持 tcp 以及 grpc 路由类型；它通过角色划分将各层规则配置关注点分离，实现规则配置上的解耦；并提供跨 namespace 的路由与网关支持使其更适应多云环境等。与 Ingress Api 工作类似的，Gateway Controller 会持续监视 Kubernetes API Server 中的 GatewayClass 和 Gateway 对象的变动，根据集群运维的配置来创建或更新其对应的网关和路由。API 网关、入口控制器和服务网格的核心都是一种代理，目的在于内外部服务通信。更多的功能并不等于更好的工具，尤其是在 Kubernetes 中，工具的复杂性可能是一个杀手。

03

HTTP协议与HTTPS的加密流程

HTTP全称Hyper Text Transfer Protocol，即超文本传输协议。HTTP是一个应用层协议，可视为一个在计算机世界里专门在两点之间传输文字、图片、音频、视频等超文本数据的约定和规范。

04

安全第一步，密钥管理服务

最近爆出不少公司代码泄露的新闻，像前不久的Bilibili后端代码被上传到Github，大疆因为前员工泄露公司源代码，致黑客入侵造成百万损失。生产环境代码泄露的危害，一方面是业务逻辑被不怀好意的人分析，容易被找出可利用的漏洞，当然更危险的是如果代码里面有一些明文存储secrets、Token、Api Key等，这些内容被别人拿到，服务就很容易遭到致命的攻击，给我们带来不可估量的损失。所以合理存储程序中的secrets是十分有必要的。本文接下来简单给大家介绍解决以上问题方法密钥管理服务（Key Management Service，KMS）以及一款开源的密钥管理工具Vault。

04

⚡REST 和 SOAP 协议有什么区别？

> 原文链接：<https://document360.com/blog/rest-vs-soap/>

00

可构建和定制您自己的AI城镇的热门项目——AI Town

这个项目是一个部署好的入门工具包，便于构建和定制你自己的AI Town版本。受到研究论文《生成代理：人类行为的交互模拟》的启发（链接：https://arxiv.org/pdf/2304.03442.pdf）。该项目的主要目标不仅仅是为了开发有趣，更重要的是提供一个具有可扩展性的强大基础平台。后端原生支持共享全局状态、事务和模拟引擎，适用于从简单玩耍的项目到可扩展的多人游戏的各种场景。第二个目标是提供一个JS/TS框架，因为这个领域的大部分模拟器（包括上述的原始论文）都是用Python编写的。

01

与我一起学习微服务架构设计模式8—外部API模式

Web应用在防火墙内部运行，它们通过高带宽、低延迟的局域网访问服务。其他客户端在防火墙之外运行，通过较低带宽、较高延迟的互联网或移动网路访问。

03

虾皮二面后续：JWT 身份认证优缺点

相比于 Session 认证的方式来说，使用 JWT 进行身份认证主要有下面 4 个优势。

01

小程序前后端交互使用JWT

现在很多Web项目都是前后端分离的形式，现在浏览器的功能也是越来越强大，基本上大部分主流的浏览器都有调试模式，也有很多抓包工具，可以很轻松的看到前端请求的URL和发送的数据信息。如果不增加安全验证的话，这种形式的前后端交互时候是很不安全的。

04

构建安全可靠的系统：第六章到第十章

由 Julien Boeuf‎、Christoph Kern‎和 John Reese‎

01

【重识云原生】第六章容器基础6.4.9节——Service

在k8s中，pod是应用程序的载体，我们可以通过pod的ip来访问应用程序，但是pod的ip地址不是固定的，这也就意味着不方便直接采用pod的ip对服务进行访问。

02

什么是容器、微服务与服务网格？

如你所知，已经有很多关于服务网格的资料，但这是另外一篇。是的！但是为什么会有这篇文章呢？因为我想给你们一些不同的视角，他们希望服务网格在10年前就已经存在，远早于Docker和Kubernetes这样的容器平台的兴起。我并不是说这个视角比其他视角更好或更差，但是由于服务网格是相当复杂的“野兽”，所以我相信多种视角有助于更好地理解它们。

03

使用SAML配置身份认证

Cloudera Manager支持安全性声明标记语言（SAML），这是一种基于XML的开放标准数据格式，用于在各方之间，尤其是在身份提供者（IDP）和服务提供者（SP）之间交换身份认证和授权数据。SAML规范定义了三个角色：Principal（通常是用户）、IDP和SP。在SAML解决的用例中，委托人（用户代理）向服务提供商请求服务。服务提供者从IDP请求并获取身份声明。基于此断言，SP可以做出访问控制决定，换句话说，它可以决定是否为连接的Principal执行某些服务。

03

Istio Egress 出口网关使用

签名我们了解了位于服务网格内部的应用应如何访问网格外部的 HTTP 和 HTTPS 服务，我们学习了如何通过 ServiceEntry 对象配置 Istio 以受控的方式访问外部服务，这种方式实际上是通过 Sidecar 直接调用的外部服务，但是有时候我们可能需要通过专用的 Egress Gateway 服务来调用外部服务，这种方式可以更好的控制对外部服务的访问。

02

一文读懂 HTTP 2.0 之服务器推送

原文：http://www.ruanyifeng.com/blog/2018/03/http2_server_push.html

02

HTTP/2 服务器推送（Server Push）教程

HTTP/2 协议的主要目的是提高网页性能。头信息（header）原来是直接传输文本，现在是压缩后传输。原来是同一个 TCP 连接里面，上一个回应（response）发送完了，服务器才能发送下一个，

05

【Kubernetes系列】第3篇基础概念介绍（下）

v2-41cd4e0da53d456d5ee31a41ce490067_1200x500.jpg

04

HTTP/2 服务器推送（Server Push）

HTTP/2 协议的主要目的是提高网页性能。头信息（header）原来是直接传输文本，现在是压缩后传输。原来是同一个 TCP 连接里面，上一个回应（response）发送完了，服务器才能发送下一个，

06

一文搞懂Cookie、Session、Token、Jwt以及实战

Cookie是存储在客户端（用户浏览器）的小块数据，可以用来记住用户的相关信息，例如登录凭证或偏好设置。它们随每个HTTP请求发送给服务器，并且可以被服务器读取以维持会话或个性化用户体验。

02

系统设计：URL短链设计

让我们设计一个像TinyURL这样的URL缩短服务。此服务将提供短别名重定向到长URL。类似服务：bit.ly、goo.gl、qlink.me等。难度等级：轻松

程序员入职避免挨骂小知识-RESTful风格

API（Application Programming Interface，应用程序接口）是一些预先定义的接口（如函数、HTTP接口），或指软件系统不同组成部分衔接的约定。用来提供应用程序与开发人员基于某软件或硬件得以访问的一组例程，而又无需访问源码，或理解内部工作机制的细节。

03

PHP代码审计——新秀企业网站V1.0

声明本文仅供学习参考，其中涉及的一切资源均来源于网络，请勿用于任何非法行为，否则您将自行承担相应后果，我不承担任何法律及连带责任。一、Server-side request forgery (SSRF) 01、Basic SSRF against the local server 描述该实验室具有库存检查功能，可从内部系统获取数据。为了解决实验室，更改股票检查 URL 以访问管理界面http://localhost/admin并删除用户carlos。解决方案 1.浏览/admin并观察您无法直接访

02

扫码

添加站长进交流群

领取专属 10元无门槛券

手把手带您无忧上云

扫码加入开发者社群

相关资讯

热门标签

活动推荐

运营活动

活动名称

广告关闭