mcpField
A
api-gateway-and-edge-security

api-gateway-and-edge-security

github.com/vaquarkhan安全3332 次安装19 周前更新
代码仓库

关于 api-gateway-and-edge-security

面向向公众或合作伙伴开放 API 的 API 网关与边缘安全技能，涵盖授权、请求校验、限流、威胁防护和监控，并提供安全审查所需的检查项。

主要功能

  1. 01路由级身份认证与授权
  2. 02边缘请求与模式校验
  3. 03基于 IP、令牌和租户的限流
  4. 04WAF、机器人及滥用防护
  5. 05审计日志与异常告警
  6. 06安全证据与退出检查

适用场景

  1. 01为外部使用者开放公共 API
  2. 02为多个 API 应用统一边缘策略
  3. 03检查授权及令牌生命周期决策
  4. 04收集安全与合规审查证据

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/vaquarkhan/fullstack-development-agent-skills --skill api-gateway-and-edge-security

安装后在 Claude Code 中输入/api-gateway-and-edge-security确认已加载。

详细介绍

API 网关与边缘安全

适用场景

  • 向公共客户端或合作伙伴开放 API
  • 治理需要集中式边缘策略

工作流

  1. 定义路由级别的身份验证和授权要求。
  2. 在边缘配置请求验证和架构强制执行。
  3. 实施基于 IP、令牌和租户的速率限制。
  4. 添加 WAF、机器人缓解和滥用检测规则。
  5. 发出安全审计日志和异常警报。

必要检查

  • 在调用后端之前阻止未经授权的流量
  • 对敏感标头和载荷字段进行清理
  • 速率限制能够在突发流量下保护下游服务

决策框架

  • 将服务端授权作为访问决策的唯一可信来源。
  • 默认采用最小权限范围和角色映射。
  • 如果使用令牌，应明确规定验证、轮换和撤销行为。
  • 如果涉及外部身份提供方，应明确规定服务中断和回退行为。

常见说辞与反驳

  • “客户端检查就够了。” -> 客户端逻辑可以被绕过；应在后端边界强制执行检查。
  • “宽泛的权限范围更容易管理。” -> 宽泛的权限范围会增加影响范围和合规风险。
  • “我们可以之后再添加审计日志。” -> 缺少审计证据会妨碍事件响应和合规响应。

证据包

  • 针对未经授权和格式错误的访问尝试的负向测试用例
  • 经负责人批准的权限范围到权限映射
  • 令牌/会话生命周期流程及撤销行为证明
  • 敏感操作的审计和安全监控证据

退出标准

  • 边缘安全态势可强制执行并受到监控
  • API 使用方获得一致的错误和配额语义

评论

支持 Markdown