在与公共网站相同的服务器上托管REST API？

Question

我有一个公共网站，还有我正在开发的REST API。将API放在不同的域名上是否有任何好处（例如安全性或其他任何好处）。帐户，甚至IP，比公共网站？

公开： http://www.mywebsite.com

API： https://api.mywebsite.net，https://api.mywebsite2.com，等等

或

https://api.mywebsite.com

重要吗？为了使API更安全，我还需要采取其他预防措施吗？

Answer 1

您的API是公共API还是私有？ - 如果私有，那么理想情况下它需要在防火墙后面，这样它完全隐藏在网络之外。

域名：没有必要但是从长远来看通常更容易将其放在子域名上，原因有两个，它更明确地说它是网站的子部分并且更容易移动如果您需要扩展，负载均衡等，请转到另一台服务器。

关于安全性Storm Path有一篇关于保护REST API的文章，但作为一般规则。

• API密钥比用户名和密码更安全。
• 临时会话密钥使API密钥被截获的可能性降低。因此，API密钥+日期时间戳会生成会话密钥，然后用于后续调用。 Oauth2有这些模式。
• TLS（SSL）是对API的一个很好的补充措施。