对外开放接口需要注意哪些地方？

• 请不要在回答技术问题时复制粘贴 AI 生成的内容

This topic created in 958 days ago, the information mentioned may be changed or developed.

最近公司有对外的业务，想新开发几个开放的接口，以前没有过相关经验，来请教下各位。

查了一下，目前考虑到的有

IP 白名单
APPID 机制，给外部调用方提供对应的 appid 和 secret
接口签名，md5 加密 str：参数 1={参数 1}&参数 2={参数 2}&……&参数 n={参数 n}$key={用户密钥};
接口限流？
https 协议

以上是否都需要呢？

接口

安全

协议

18 replies • 2024-05-24 10:51:30 +08:00

NessajCN

Mar 28, 2024

ip 白名单看情况，面向公众的就别了，没必要
appid 这些是接口内验证用的，叫啥名无所谓，这个要
接口签名跟上面这个重复了，纯折腾开发者还是别了
限流这个是付费相关的，根据实际需求来
https 是标配了，不过这个跟接口本身没啥关系，是传输层的

wentjiang

Mar 28, 2024

你可以直接参考淘宝的开放平台,然后根据自己实际的业务进行修改

3country

Mar 28, 2024

@NessajCN 就是付费相关的，面向企业，那只有 3 可有可无了

yule111222

Mar 28, 2024

建议用标准 oauth2 ，不要抄国内那些乱七八糟的
标准 oatuh2 强制要求 https ，也不需要接口签名，纯脱裤子放屁

javalaw2010

Mar 28, 2024

看起来不是专门做 open api 的业务，预计未来这方面的业务不会很大的话，就简单处理，IP 白名单没必要，APPID 简化为一个 token 让对方保存好丢到 header 里面。接口签名没必要，接口限流根据实际业务做一下，https 标配了没的说。

66Zi2nJk5Z6mdtzj

Mar 28, 2024 via iPhone

access log ，监控响应状态和耗时

服务 health 监控

一般入参和响应会有日志，有助于排查日志（这个主要看请求量，不然日志就太多了）

接口幂等

所有参数验证，不相信客户端的所有数据

接口有一个参数，时间戳，后端优先校验时间戳，跟当年时间误差超过多大的不处理

sskycn

Mar 28, 2024

我们就搞了个 accessToken, 再根据权限来管理哪些 api 可以调。

https 是必需的了吧

sparklee

Mar 28, 2024

接口参数签名还是要的, 一定程度上防止被拦截之后篡改数据

gerefoxing

Mar 28, 2024

accessToken&验签，可以看下各大平台接口对接文档参考下

luckyc

Mar 28, 2024

@sparklee 有 https 了没必要.

luckyc

Mar 28, 2024

看看企业微信的 api, 学习一下.

flyqie

Mar 28, 2024

@NessajCN #1

APPID 机制跟接口签名他俩实际做的时候貌似是合到一起的吧？

我们是这么做的。

header 里传 appid 和 sign: md5(请求体+secret)

crazyweeds

Mar 29, 2024

appid+appid 级别的限流，其他不是很有必要。
其他如果你觉得必要，那么你做好 SDK ，而不是微信一样，就提供文档。因为你无法做到微信那种，只管拉 X ，不管擦。出现问题，你还得配合调试，徒增烦恼。
当然，可以刷 KPI ，毕竟现在老板不是喜欢员工看上去很忙么，满足老板的愿望。效率低？那不是你管的事情。