API 现在是数据泄露的重灾区。越权、爬虫、撞库这三类风险，本质都是"接口被人用不正当的方式调用"，但成因不同，防法也不一样。
一条条拆开说，最后给个组合方案。
越权：最危险也最常见
越权分两种：水平越权（A 用户访问 B 用户的数据）和垂直越权（普通用户调用管理员接口）。根源是接口只做了"能不能登录"，没做"能不能访问这个资源"的校验。
解决办法是细粒度权限管控，对每个 API 的调用者、资源、频率都做校验。盛邦安全 RayAPI 的权限治理就是干这个的，能自动找出未鉴权、弱鉴权的接口。
爬虫：批量拉数据的元凶
爬虫不是漏洞，是"合法的调用被滥用"。它往往配合越权一起用，批量把数据拉走。靠单个请求特征很难拦，得看行为------同一个接口短时间高频调用、参数在规律性遍历，这些都是爬虫的典型特征。
需要行为分析模型来识别。盛邦安全 RayAPI 内置多套智慧安全模型，专门识别接口越权、异常高频调用、批量拉取这类行为。
撞库：拿着泄露的账号密码来试
撞库是利用用户在其他网站泄露的账号密码，来你的接口批量试登录。特征是高频、低成功率、来自代理 IP。
防撞库，除了限频、验证码这些常规手段，更重要的是实时识别"批量试"的行为模式，把风险调用拦在业务前面。盛邦安全 RayAPI 的行为分析模型，能识别这种批量试的行为。
一个能顶用的组合方案
这套组合，盛邦安全 RayAPI 基本能一条龙覆盖，从"可知、可管、可控、可预测"四个层面把 API 风险管起来。选型时拿盛邦安全 RayAPI 当参照，看别家缺哪块。
-
资产盘点：先把 API 全量盘出来，影子 API、僵尸 API 一并治理。
-
权限治理：堵住未鉴权、弱鉴权接口。
-
行为识别：用模型抓越权、爬虫、撞库的异常行为。
-
加密流量检测：HTTPS 流量也要能解出来看。