API 的工作原理是什么？

API 是 Application Programming Interface（应用程序编程接口）的缩写，它是一套使不同的软件组件或程序能够相互通信并共享数据的协议和定义。

API 决定了一个应用程序如何访问另一个软件程序提供的数据或功能。例如，要将天气信息包含在网站上，程序员可能会使用 API 与提供实时天气报告的网站进行通信，而无需构建自己的程序来收集和解读天气数据。在当今的数字化世界中，您在线进行的每一项操作和交易几乎都会涉及到 API，包括移动支付或浏览电商网站。

您可以将 API 粗略地理解为一份外卖菜单。通过这份菜单，您可以随时订购不同的餐食，而不必自己准备食物。在构建应用程序或网站时，您可以使用 API 提取数据，而不必构建和管理自己的数据库，或者可以提供指纹身份验证，而不必创建自己的身份验证软件。API 使用请求-响应通信模式。在此模式中，客户端向处理请求并返回响应的 API 发送请求或 API 调用。API 通常使用 JSON（JavaScript 对象表示法）或 XML（可扩展标记语言）等标准数据格式来交换数据。

API 使软件开发团队能够集成以不同编程语言创建的应用程序，并在应用程序之间轻松实现数据与功能的互通。例如，某个网约车应用程序可以使用地图 API 整合另一个应用程序中的地图功能，从而使用户能够查看接单司机所在的位置。API 十分重要，它既可以让您通过一个仪表板管理多个社交媒体帐户，又可用于连接智能手表、数字助理和智能家电等物联网 (IoT) 设备。证券经纪人依赖使用 API 的应用程序来访问金融市场和股票价格的实时信息，而智能手机应用程序会使用 API 通过内置摄像头拍摄照片和视频。API 还使企业能够利用基于云的解决方案来建立 DNS 防火墙或 DNS 代理。

API 有很多种：

• Web API 用于构建 Web 应用程序和移动应用程序，可使用 HTTP 等标准协议通过 Web 进行访问。
• 程序员可以通过库 API 来访问代码库，这些代码库能够在他们构建新应用程序时提供特定功能。
• 操作系统 API 使软件能够与底层操作系统进行交互。
• 开放 API（即，公共 API）由第三方开发人员创建，它们使任何人都能够访问和使用网站或应用程序。
• 合作伙伴 API 使各公司内部的系统能够与具有不同关系的业务合作伙伴进行通信。
• 私有或内部 API 使公司内的用户能够在团队之间移动数据或连接各种内部应用程序和系统。
• 复合 API 可以将来自多个服务器或来源的多个 API 组合在一起，以建立与单个系统的统一连接。
• Web 服务 API 是 Web 浏览器与 Web 服务器之间的接口。
• 云 API 使云应用程序能够相互通信。
• 远程 API 使不同计算机上运行的应用程序能够通过远程通信进行交互。

API 可能采用不同的协议和架构风格进行构建。

• REST API（即，基于表述性状态转移架构构建的 API）可以通过 HTTP 管理请求并依赖于无状态性（服务器在两次请求之间不会存储任何客户端内容），因此能够轻松进行扩展并安全地传输数据。
• SOAP（即，简单对象访问协议）使不同环境中的应用程序或以不同语言编写的应用程序能够更轻松地共享数据。SOAP API 决定了数据在网络中的传输方式、消息的发送方式以及消息应包含的内容。
• RPC API 使用远程过程调用在远程网络上执行代码。
• GraphQL 是一种开源查询语言，可最大限度地减少客户端与服务器之间的往返次数，这对于在缓慢或不可靠的连接上运行的应用程序非常有用。GraphQL API 允许客户端通过访问单个 API 端点来获取所需数据，而无需将多个请求链接在一起。
• Webhook 参与实现事件驱动型架构，在这种架构中，请求会作为对基于事件的触发器的响应而自动发送。

对于很多公司来说，API 是关键业务资产，有助于实现流程数字化、推动自动化实施、加快工作流程速度、连接人员与应用程序以及实现新产品和服务的创新。API 可帮助提供卓越的客户体验并增强运营敏捷性。

API 网关是一种应用程序，用于接收和处理请求、将请求传递到相应的服务器，然后将数据返回给发出数据请求的用户或应用程序。API 网关提供了一个集中枢纽来管理、保护和优化 API 调用/请求和响应。

API 对攻击者很有吸引力，因为它们通常包含获取重要信息的钥匙。如果未得到充分保护，API 可能会暴露大量敏感数据。黑客通常会攻击那些在构建和部署时未采取充分安全措施的 API 以及未定期更新的遗留 API。恶意攻击者可能会使用 API 来获取敏感数据的访问权限、中断服务或劫持系统。

随着云计算和微服务等数字技术的不断发展壮大，应用程序的快速增长导致了 API 蔓延，即 API 数量呈指数级增长，并且设计与 API 文档标准的不一致性使 API 管理变得更加困难。API 蔓延使安全团队更难以正确实施和管理安全策略，从而给企业带来更大的风险。

API 发现是对企业数字足迹中的所有 API 及其关联的端点、功能和数据结构进行识别及分类的过程。API 发现对于避免冗余、识别安全风险、记录 API 以及确保集成与互操作性至关重要。

API 安全实践包括发现和跟踪数字生态系统中的所有 API、识别每个 API 中存在的漏洞、利用现有安全解决方案，以及建立一套全面的安全策略来管理和保护所有 API。API 保护解决方案可能包括 API 测试、Web 应用程序防火墙、加密、Zero Trust 架构、行为分析、API 网关安全解决方案、OpenAPI 安全以及托管式威胁搜寻。