API 安全
通过身份认证、速率限制、输入验证和监控来保障 API 安全。
API 安全由以下 NIST CSF 2.0 成果定义：PR.PS-06 (Secure software development practices are integrated, and their performance is monitored throughout the software development life cycle); PR.AA-03 (Users, services, and hardware are authenticated); PR.IR-01 (Networks and environments are protected from unauthorized logical access and usage)。 对照映射 通过 ISO 27001, PCI DSS 和 800-53 中已发布的对照表完成映射。 编辑说明 在 CIS v8.1 中经编辑映射。 在 CMMC, HIPAA 和 NIS2 中仅弱相关。 本站数据中无映射 本站数据中 SOC 2, GDPR, Essential Eight, DORA, CPS 234 和 Cyber Essentials 无映射。
| 框架 | 要求 | 标题 | 链接 | 来源 / 原因 |
|---|---|---|---|---|
| NIST CSF 2.0 | PR.PS-06PR.AA-03PR.IR-01 | Secure software development practices are integrated, and their performance is monitored throughout the software development life cycle; Users, services, and hardware are authenticated; Networks and environments are protected from unauthorized logical access and usage | 主题定义 | PR.PS-06 PR.AA-03 PR.IR-01 |
| ISO 27001 | A.8.5A.8.26 | Secure authentication; Application security requirements | 对照映射 | A.8.5: via PR.AA-03 A.8.26: via PR.PS-06 |
| CIS v8.1 | CIS 16.10CIS 16.12 | Apply Secure Design Principles in Application Architectures; Implement Code-Level Security Checks | 编辑说明 | CIS 16.10: Secure design principles in application architectures, which apply to APIs as much as user interfaces. CIS 16.12: Code-level security checks catch API flaws such as injection and broken authorisation before release. |
| SOC 2 | — | 无要求 | 本站数据中无映射 | 本站数据中没有 SOC 2 要求映射到此主题。 |
| PCI DSS | 6.2.36.2.4 | Custom code reviewed before release; Coding techniques prevent common software attacks | 对照映射 | 6.2.3: via PR.PS-06 6.2.4: Engineering techniques against common attacks, including API abuse; omitted from NIST's PCI references. |
| CMMC | SC.L2-3.13.2AC.L2-3.1.8AC.L2-3.1.11IA.L2-3.5.1IA.L2-3.5.2IA.L2-3.5.3 | 未映射到此主题 | 这些要求仅通过已发布的交叉映射与本主题的 CSF 成果（PR.PS-06, PR.AA-03, PR.IR-01）存在关联：值得核查，但不构成映射。 | |
| 800-53 | IA-9SC-5SI-10 | Service Identification and Authentication; Denial-of-service Protection; Information Input Validation | 对照映射 | IA-9: via PR.AA-03 SC-5: via PR.IR-01 SI-10: Input validation; not linked to these subcategories in NIST's references. |
| HIPAA | §164.310(b)§164.312(a)(2)(i)§164.312(a)(2)(iii)§164.312(d)§164.308(a)(3)§164.308(a)(3)(ii)(A) | 未映射到此主题 | 这些要求仅通过已发布的交叉映射与本主题的 CSF 成果（PR.PS-06, PR.AA-03, PR.IR-01）存在关联：值得核查，但不构成映射。 | |
| GDPR | — | 无要求 | 本站数据中无映射 | 本站数据中没有 GDPR 要求映射到此主题。 |
| NIS2 | 6.211.611.76.76.8 | 未映射到此主题 | 这些要求仅通过已发布的交叉映射与本主题的 CSF 成果（PR.PS-06, PR.AA-03, PR.IR-01）存在关联：值得核查，但不构成映射。 | |
| Essential Eight | — | 无要求 | 本站数据中无映射 | 本站数据中没有 Essential Eight 要求映射到此主题。 |
| DORA | — | 无要求 | 本站数据中无映射 | 本站数据中没有 DORA 要求映射到此主题。 |
| CPS 234 | — | 无要求 | 本站数据中无映射 | 本站数据中没有 CPS 234 要求映射到此主题。 |
| Cyber Essentials | — | 无要求 | 本站数据中无映射 | 本站数据中没有 Cyber Essentials 要求映射到此主题。 |
主题定义 定义本主题的 CSF 2.0 结果 · 对照映射 至少一项选择有已发布对照表作为依据 · 编辑说明 ControlMapping 的判断及理由 · 未映射，仅与该主题的 CSF 成果相同 · 本站数据中无映射 我们的数据中未映射任何内容；通常为新工作，但请查看覆盖范围说明. 方法说明.
要求编号和标题均按各框架官方发布的英文原文显示。
映射有误或缺失？ 报告
关于API 安全
API 安全旨在保护应用程序编程接口免受滥用、未经授权的访问和数据泄露之害。随着组织越来越依赖 API 进行系统集成、移动应用和合作伙伴互联互通，这一点愈发重要。关键控制措施包括：实施 OAuth 2.0 或 API 密钥认证；执行速率限制和节流以防止滥用；对所有输入进行验证以防范注入攻击；记录 API 调用日志，以便开展监控和取证分析。组织应维护所有 API 的完整清单，依据 OWASP API Security Top 10 定期开展 API 安全测试，并部署 API 网关，以集中管理身份认证、授权和流量管理。