API 安全

聚合包含「API 安全」的文章，方便按工具、配置项或错误现象继续排查。

API 接口上线前要查什么：鉴权、越权、限流、幂等和错误返回

API 接口上线前，先用两个账号、重复请求、并发请求和异常输入检查鉴权、越权、限流、幂等、错误返回和日志脱敏，避免功能刚发布就变成数据泄露或重复扣款入口。

服务端会替用户请求 URL 时，先检查图片代理、Webhook 测试、URL 预览、文件导入和 AI 工具调用是否能访问 localhost、私网 IP、云 metadata、重定向目标和非 HTTP 协议。