API与系统集成

通过清晰的接口约定、权限控制和故障处理构建可靠的集成，了解依赖关系并提前设计服务降级方案。

92 篇文章 · 文章最近更新

搜索涵盖本主题的全部文章，包括往期文章及文章正文。

Zabbix：分离内容与脚本

发布 · 更新

Zabbix：跨站脚本攻击（XSS）。本文回顾2026-10-06的案例，依据CERTFR-2026-AVI-1261梳理3条版本记录和6个CVE、已记载版本及适用于检测工具的检查。

阅读文章

Instant ON：控制出站请求

发布 · 更新

Instant ON：服务器端请求伪造（SSRF）。本文回顾2026-09-30的案例，依据CERTFR-2026-AVI-1238梳理1条版本记录和18个CVE、已记载版本及适用于网络接入的检查。

阅读文章

DSM：保护数据库查询

发布 · 更新

DSM：SQL注入。本文回顾2026-09-21的案例，依据CERTFR-2026-AVI-1209梳理4条版本记录和8个CVE、已记载版本及适用于备份系统的检查。

阅读文章

WordPress：分离内容与脚本

发布 · 更新

WordPress：跨站脚本攻击（XSS）。本文回顾2026-09-19的案例，依据CERTFR-2026-AVI-1200梳理1条版本记录和0个CVE、已记载版本及适用于Web应用的检查。

阅读文章

MISP：控制出站请求

发布 · 更新

MISP：服务器端请求伪造（SSRF）。本文回顾2026-09-14的案例，依据CERTFR-2026-AVI-1170梳理1条版本记录和19个CVE、已记载版本及适用于运行平台的检查。

阅读文章

laravel/framework：分离内容与脚本

发布 · 更新

laravel/framework：跨站脚本攻击（XSS）。本文回顾2026-09-12的案例，依据CERTFR-2026-AVI-1153梳理2条版本记录和0个CVE、已记载版本及适用于Web应用的检查。

阅读文章

AOS-CX, Fabric Composer：控制出站请求

发布 · 更新

AOS-CX, Fabric Composer：服务器端请求伪造（SSRF）。本文回顾2026-09-02的案例，依据CERTFR-2026-AVI-1104梳理6条版本记录和86个CVE、已记载版本及适用于网络接入的检查。

阅读文章

Redmine：分离内容与脚本

发布 · 更新

Redmine：跨站脚本攻击（XSS）。本文回顾2026-08-27的案例，依据CERTFR-2026-AVI-1085梳理3条版本记录和0个CVE、已记载版本及适用于Web应用的检查。

阅读文章

PostgreSQL：保护数据库查询

发布 · 更新

PostgreSQL：SQL注入。本文回顾2026-08-14的案例，依据CERTFR-2026-AVI-1024梳理5条版本记录和28个CVE、已记载版本及适用于数据库的检查。

阅读文章

Telerik UI pour AJAX：控制出站请求

发布 · 更新

Telerik UI pour AJAX：服务器端请求伪造（SSRF）。本文回顾2026-08-07的案例，依据CERTFR-2026-AVI-0977梳理1条版本记录和13个CVE、已记载版本及适用于Web应用的检查。

阅读文章

PHP：保护数据库查询

发布 · 更新

PHP：SQL注入。本文回顾2026-07-31的案例，依据CERTFR-2026-AVI-0952梳理4条版本记录和4个CVE、已记载版本及适用于运行平台的检查。

阅读文章

Security Center：保护数据库查询

发布 · 更新

Security Center：SQL注入。本文回顾2026-07-24的案例，依据CERTFR-2026-AVI-0905梳理1条版本记录和54个CVE、已记载版本及适用于检测工具的检查。

阅读文章

Roundcube Webmail：控制出站请求

发布 · 更新

Roundcube Webmail：服务器端请求伪造（SSRF）。本文回顾2026-07-21的案例，依据CERTFR-2026-AVI-0835梳理2条版本记录和6个CVE、已记载版本及适用于邮件系统的检查。

阅读文章

Splunk Enterprise：验证会话操作

发布 · 更新

Splunk Enterprise：跨站请求伪造（CSRF）。本文回顾2026-07-18的案例，依据CERTFR-2026-AVI-0888梳理14条版本记录和31个CVE、已记载版本及适用于检测工具的检查。

阅读文章

Drupal：分离内容与脚本

发布 · 更新

Drupal：跨站脚本攻击（XSS）。本文回顾2026-07-16的案例，依据CERTFR-2026-AVI-0889梳理3条版本记录和3个CVE、已记载版本及适用于Web应用的检查。

阅读文章

理解主题

本主题的实用指南

关联功能依赖于身份、接口契约、供应商和故障模式。 此类别关联 API 设计、安全性、连续性和用户获得的服务质量。

检查内容
  • 识别每个旅程中必不可少的调用及其所有者。
  • 规划截止日期、错误处理、安全重试和可见的性能下降。
  • 演练故障、恢复和事件响应。
  • 在更改接口之前，将实际响应与文档化的契约进行比较。
  • 测试每个 GraphQL 对象和字段的权限，然后根据实际成本绑定嵌套、列表和别名。
  • 将收到的通知转换为唯一、可追溯的业务影响，以便在发生故障后恢复。
  • 分离共享缓存、私有缓存和应用程序缓存，检查密钥，并在访问权限更改后进行重新验证和失效处理。
  • 导入URL可能意外访问内部资源。
  • 限制影响容量、重试及客户间分配。
  • 数据变化可能造成导出缺失或重复。
  • 接收文件须在发布或处理前验证。
  • 共享缓存应分离公开内容和个人响应。
  • 接受请求不能证明工作已完成。
  • 区分已生成、已接收和可用事件，不把沉默当作没有事故的证据。
  • 为iframe或弹出窗口建立消息契约，拒绝意外发送方和数据。
  • 发布解压文件前验证路径、链接和实际解压数据量。
  • 将续期追踪到TLS终结点和客户端后再确认变更完成。
有用问题
  • 如果提供商停止响应会发生什么？
  • 重试能否重复操作？
  • 哪些证据表明恢复有效？
  • 新版本会影响哪些现有客户端？
  • 解析器在父级被允许后能否返回私有字段？
  • 哪些字节已签名？
  • 无缓存是否意味着不保留任何内容？
  • 只检查第一个URL够吗？
  • 429能证明之前的写入没有执行吗？
  • 达到预期行数就证明导出完整吗？
  • 允许的扩展名能证明安全吗？
  • 有Cookie就不会进入共享缓存吗？
  • 202能证明任务最终完成吗？
  • 收到三行能证明保留了三个事件吗？
  • 检查event.origin就够了吗？
  • 小档案或过滤器能保证安全吗？
  • ACME续期成功就够了吗？

决策示例

情境
虚构示例：数据不代表客户或实际观察结果。 两次读取都很快，但数据源变化后，其中一次仍显示旧的可用状态。
检查
比较数值、版本、读取位置和变更后的时间，按系统约定测试失效、过期以及访问原始来源。
行动
按用途明确可接受的过时程度并监测差异。延迟降低不能证明已提供数据的一致性。

API缓存：控制新鲜度、隔离与一致性

HTTP 缓存：保护个性化响应

IETF — RFC 9111, HTTP Caching

检查接收者和权限

签名令牌不会自动授权对象操作。 测试颁发者、受众、过期时间和跨账户访问；在成功案例之外，添加预期拒绝案例。

令牌对其他 API 有效吗？或者角色实际上被拒绝了吗？

探索方法

读懂数据再判断

API重试：计算端到端时间预算

四次尝试包含三次重试。

总尝试次数
41 + 3
累计等待（ms）
700100 + 200 + 400
模型预算（ms）
17004 × 250 + 700

虚构教学案例：数字不代表CIE或客户实绩。

试算重试预算

n × T + W × (2^(n−1) − 1)

帮助您作出决策的问题

在本主题的分析中寻找答案和实用核查要点。

阅读往期文章

除下方的近期文章外，还可阅读这一主题的其他分析。

MOVEit Transfer：分离内容与脚本

MOVEit Transfer：跨站脚本攻击（XSS）。本文回顾2026-07-11的案例，依据CERTFR-2026-AVI-0856梳理1条版本记录和3个CVE、已记载版本及适用于运行平台的检查。

发布 更新

分布式API系统中的实时监控与可观测性：提升数字业务的可靠性与安全性

随着企业数字化转型的不断深入，分布式架构和API的广泛应用已成为推动业务创新与敏捷响应市场的核心动力。然而，这也带来了新的挑战：如何在多节点、多服务的复杂环境中，高效识别潜在故障和安全隐患？实时监控与可观测性（Observability）正成为保障分布式API高可用性与安全性的关键工具。本文将系统阐释分布式API的实时监控与可观测性的核心概念、实现方式以及对企业运营与安全合规…

发布 更新

无代码AI连接器与自动化API：加速企业系统集成的强力引擎

在数字化转型的浪潮中，企业对快速、高效且安全的数据集成需求持续上升。传统的系统集成往往面临技术门槛和开发周期长的挑战。无代码AI连接器和自动化API正以革命性的方式，打破集成壁垒，大幅提升业务敏捷性。本文将深入解析这两类工具的工作原理、优势，以及它们如何助力企业实现快速集成和自动化运营。

发布 更新

无服务器API的崛起：企业如何高效构建与部署API端点

在数字化浪潮中，API（应用程序编程接口）已经成为连接系统、平台和服务的关键纽带。传统的API托管依赖于复杂的服务器管理，而无服务器（Serverless）架构的出现，彻底改变了API的部署和运维方式。本文将深入剖析什么是无服务器API、企业如何利用该技术轻松部署端点，并探讨其中的商业价值和安全机遇。

发布 更新

权威参考资料

由相关方法与标准的制定机构发布的原始资料。