随着人们对互联网资源的需求不断增加，越来越多的企业开始将自己的业务向外部开放，接受第三方的使用和调用。而这时候，api接口就成为了连接内部系统和外部用户之间的桥梁。因此，在api的开发过程中，保证安全性显得尤为重要。而在php api开发中，最佳的安全配置和参数校验实践，是确保接口安全的最佳保障。
一、认识API安全问题
API的实现思路，从根本上讲就是一个“开放型”的设计。那么问题来了，API设计开放的同时如何又能保证系统的安全呢？我们可以主要从以下三点考虑：
- 权限控制：API使用的用户必须进行认证和授权，以保证只有合法用户才能进行访问。
- 参数校验：用户提交给API的参数需要进行校验，以判断这些参数是否合法。校验过程可以针对参数进行验证，确保它们的可信度和正确性。
- 数据加密：对于特别敏感的数据，需要加密才能传输。这通常使用HTTPS实现。
二、正确的安全配置
- 开启PHP安全模式
PHP已经内置了一个安全模式（安全模式是PHP 5.2.2的一个特性，已经被弃用），可防止黑客通过上传脚本等方式攻击服务器。安全模式包含的设置有：禁止调用exec，system，popen，passthru，shell_exec等函数，禁止修改PHP_INI_USER变量等等。
立即学习“PHP免费学习笔记（深入）”；
不过，为了提高服务器的效率，很多生产服务器都关闭了PHP安全模式。这时候可以通过其他方法来保护系统安全。
- 拒绝未知文件类型
建议可以通过小例子来讲述：比如，我们必须保证只有允许上传的文件类型才能通过，对于其他文件类型需要拒绝上传。这通常使用MIME header来检查文件类型。
- 禁止允许外部调用
禁止允许外部调用某些敏感的API或SDK，方案是：
在 /etc/apache2/apache2.conf 加入以下内容
Order deny,allow Deny from all </Directory>
- 禁止远程文件包含
确保没有开启远程文件包含（Remote file inclusion, RFI）功能。这种功能允许用户通过URL动态包含文件，存在非常严重的安全漏洞。
三、参数校验
- 字符串长度：为了限制输入长度，需要在表单或者用户输入数据后特判，你可以使用 strlen() 函数。如果字符长度超过了限制，我们应该给出提示。
- 内容类型：在某些情况下需要限制上传文件的内容类型。这里要注意的是，不要仅检查文件名后缀，因为文件类型有可能通过伪造后缀来对抗这种检查。
- 邮箱格式：在需要验证输入邮箱的API中，记得使用“filter_var”函数来验证邮箱格式是否正确。如果格式不正确，应给出错误提示。
四、数据加密
- 全站设置HTTPS
建议能够配置HTTPS全站加密，这个方案可以保证数据的加密传输。HTTPS可以避免黑客进行中间人攻击，从而确保了数据传输的安全性。
- 配置HTTPS头
除了在Apache、Nginx等环境中开启HTTPS，我们还可以在自己的PHP代码中应用 websockets，从而实现传输数据的加密。
总之，API安全配置不只是各式各样的技术细节，还包含了大量的数据处理、结构设计和数据建模等等。只有在这些基础上保证了API的整体性和系统安全性，才能实现灵活、便捷、安全的API设计。
