與公共網站在同一臺服務器上託管REST API？

Question

我有一個公共網站，也是我正在開發的一個REST API。有沒有任何好處（如安全或其他任何）使API在不同的域名&帳戶，甚至IP，比公共網站？

市民： http://www.mywebsite.com

API： https://api.mywebsite.net，https://api.mywebsite2.com，ECT

或

https://api.mywebsite.com

什麼關係呢？我還需要採取其他什麼預防措施來使API更安全嗎？

Answer 1

您的API是公共API還是意味着是私人的？ - 如果是私人的，那麼理想情況下它需要在防火牆後面，這樣它就完全隱藏在網絡中。

域名：不是必需的，但是從長遠來看，由於幾個原因，它通常更容易放在子域上，它更加定義它是網站的子部分，並且如果你轉移到另一個服務器更容易需要擴展，負載平衡等。

關於安全性Storm Path有一篇關於保護REST API的相當不錯的文章，但作爲一般規則。

• API密鑰比用戶名和密碼安全。
• 臨時會話密鑰使得API密鑰被攔截的可能性降低。所以API密鑰+日期時間戳製作一個會話密鑰，然後用於後續調用。 Oauth2有這些模式。
• TLS（SSL）是您的API的一個很好的附加措施。