深圳市元小科技有很公司|一起出海YouTube、Google 地图、X、Spotify 和 OpenWeatherMap 有什么共同点？
您可以将它们的内容嵌入到其原生环境之外。这要归功于应用程序编程接口 (API)。
API 实际上是两种软件之间的通信方式，例如您的网站和您想嵌入的 Spotify 播放列表。它们提供对数字工具的广泛公共访问权限。然而，就像一个限制访问的建筑物一样，您必须限制授予谁权限以避免滥用。这就是 API 密钥 的作用。
什么是 API 密钥？
API 密钥是一个唯一的标识符，可以验证您对应用程序编程接口 (API) 的请求。API 技术允许软件产品的版本出现在第三方网站上。
如果您曾经在博客上播放过 Spotify 播放列表，或者在酒店网站上与 Google 地图小部件交互过，那么您已经使用过 API。您访问的网站使用 API 密钥来访问该 API 及其数据。
API 密钥可以通过确保只有特定用户或授权应用程序可以访问和与 API 交互来保护接口。特定的 API 密钥或私有 API 控制对服务或数据的访问——本质上是一种用户身份验证形式，用于验证个人或实体是否有权访问该信息。
公共 API 密钥与私有 API 密钥
API 密钥可以识别项目、授予项目授权并管理应用程序使用情况。它们还允许 API 提供商限制谁可以访问这些信息以及访问多少次，这可以防止滥用，例如垃圾邮件或数据泄露。两种主要类型的密钥控制 API 调用：公共密钥 和私有密钥。以下是它们在安全性与机密性方面的比较：
安全性
公共应用程序的使用很少需要交换绝密数据，因此公共 API 密钥不提供最强大的保护级别。
私有 API 密钥更安全，您通常可以使用它们访问敏感数据或在 API 中执行关键操作。它们通常是专有应用程序或内部记录保存工具的一部分，这些工具需要 API 密钥来确保安全。私有 API 密钥也可能需要一个秘密令牌或其他安全机制来增强应用程序使用跟踪并防止未经授权的访问。它们还允许过滤器日志（根据不同的标准查看数据的子集）来跟踪授权应用程序的行为并检测任何潜在的滥用。
机密性
任何人都可以访问公共 API 密钥。您可能在 API 调用期间在请求标头或 URL 查询字符串中看到随机生成的字符。如果您仔细查看嵌入式 YouTube 视频的长 URL，您可能会注意到结尾处的唯一 API 密钥。
您绝对不能与任何人共享私有 API 密钥（应用程序安全地存储）。
API 密钥的工作原理
API 密钥在确保应用程序编程接口的安全性方面发挥着至关重要的作用。它们提供访问控制，以便只有经过批准的用户和应用程序可以访问 API 中的敏感数据。以下是如何使用 API 密钥识别用户并授予访问权限的摘要：
生成
API 提供商为每个需要访问 API 的用户或应用程序生成一串字符。这个唯一的 API 密钥充当凭据，证明请求来自授权来源。
身份验证
当用户发出 API 请求时，它会包含 API 密钥。API 服务器会根据授权密钥数据库验证 API 密钥。如果密钥有效，服务器会授予 API 访问权限。对于无效或缺少密钥，API 提供商会拒绝访问。
应用程序访问
对于经批准的 API 请求，API 服务器会授权访问其资源。访问级别和 API 使用情况取决于密钥的权限。例如，如果 API 密钥将请求者标识为开发人员帐户，则服务器可能会授予完全访问权限。如果密钥识别第三方应用程序流量，这可能会提示对 API 服务的更有限的访问权限。
速率限制
为了防止滥用并确保公平使用，API 提供商通常会实施速率限制，或限制应用程序在指定时间段内可以发出的请求次数，使 API 消耗量保持在合理水平。速率限制确保许多不同的人和应用程序可以访问 API。
安全性
虽然 API 密钥充当基本的身份验证形式，但您还可以将它们与其他安全机制（如 IP 白名单、加密或 OAuth 令牌）结合使用，以识别应用程序流量并增强安全性。在所有情况下，您应该将 API 密钥视为敏感信息并将其保密。您绝不应该公开共享它们或将它们硬编码到应用程序中。
使用 API 密钥的常见用途
系统管理员使用 API 密钥来控制对 API 的访问，确保安全性并促进 API 集成。这些密钥提供了一条抵御数据窃贼和可能过度使用 API 的第三方应用程序的关键安全防线。以下是一些 API 密钥最常见的用途：
控制访问
API 密钥控制对 API 数据或服务的访问，确保只有授权应用程序可以发出 API 调用。当 API 制作者向请求应用程序提供密钥时，他们允许该应用程序与其服务交互，例如检索数据或执行特定操作。
私有 API 密钥对于保护敏感数据尤其重要，而公共 API 密钥适用于不太敏感的操作。Google Cloud Platform 控制台中项目 API 密钥允许开发人员根据特定项目控制访问权限。
用户授权
API 密钥也可以与身份验证令牌配对以实现安全授权。这可以确保只有经过身份验证和授权的用户才能与 API 交互。密钥使用情况（是否需要安全身份验证令牌）将阻止匿名流量并防止潜在的恶意活动。
识别使用模式
API 密钥通过跟踪哪个特定用户或应用程序位于 API 调用后面来帮助 API 提供商识别使用模式。此跟踪允许提供商监控应用程序使用情况、设置速率限制并优化整体服务。例如，YouTube API 密钥识别特定应用程序访问视频或数据的频率，而 Google 地图 API 密钥可以跟踪位置数据请求。
阻止未经授权的流量
API 密钥可以通过仅处理具有有效 API 密钥的请求来阻止匿名流量。私有 API 密钥确保只有合法流量可以访问，同时阻止请求以防止潜在的恶意活动。
自动化集成和应用程序任务
您可以使用 API 密钥来自动化需要与第三方服务集成的软件或系统的任务。例如，开发人员使用 API 密钥来自动化从外部来源检索数据，例如使用 YouTube API 密钥将视频数据提取到应用程序中。API 密钥管理有助于保持这些集成安全可靠。
使用 API 密钥的最佳实践
安全高效地使用 API 密钥将防止恶意用户未经授权的访问，并让您能够控制 API 调用和项目授权。以下是在使用 API 密钥时要实施的一些最佳实践：
- 安全地存储您的 API 密钥。 绝不要在您的应用程序中以纯文本形式存储 API 密钥；而应该使用安全方法（如环境变量或加密配置文件）来保护它们。
- 尽可能限制访问权限。 仅授予 API 密钥执行其预期功能所需的权限，因为授予广泛的访问权限可能会导致意想不到的后果。
- 定期轮换您的 API 密钥。 就像互联网用户应该轮换密码一样，系统管理员应该定期重新生成 API 密钥以降低未经授权访问的风险。
- 监控密钥使用情况。 跟踪 API 密钥使用模式以检测潜在的安全漏洞或未经授权的访问。
- 实施速率限制。 限制用户在特定时间段内可以使用 API 密钥发出的请求次数，以防止滥用并确保公平使用，从而避免您的软件在大量请求的洪流中崩溃。
- 使用 API 密钥管理工具。 考虑使用专门的 API 密钥管理工具来简化生成、存储、更改和撤销密钥的过程。
什么是 API 密钥常见问题解答
如何存储 API 密钥？
安全地存储 API 密钥。使用环境变量、加密配置文件或专门的 API 密钥管理工具来存放它们。绝不要将 API 密钥硬编码到源代码中。
API 密钥的作用是什么？
API 密钥对应用程序进行身份验证和授权，以访问和与 API 的数据或服务进行交互。它们确保只有经过批准的用户（无论是个人还是应用程序）可以发出 API 请求。
谁需要 API 密钥？
如果您需要访问基于 Web 的应用程序编程接口 (API) 的数据或功能，那么您需要一个 API 密钥来授予您该访问权限。
