什么是 API？API 工作原理完整指南
什么是 API？API 工作原理完整指南
API（应用程序编程接口）是现代软件中无形的连接组织。每次你在手机上查看天气、使用数字钱包支付或通过 Google 账户登录应用时，API 都在幕后悄悄交换数据。本指南将解释什么是 API、它们如何工作、主要类型和协议，以及如何保护 API 驱动的连接。
API 代表什么？
什么是 API？API 工作原理完整指南 - API 代表什么？.
API 代表应用程序编程接口。分解如下：
- 应用程序 — 任何具有特定功能的软件，从天气数据库到支付处理器。
- 编程 — 该接口是为软件开发人员在代码中使用而设计的，而不是供最终用户点击。
- 接口 — 定义两个软件如何通信的契约或边界。
实际上，API 是一组规则和协议，允许一个应用程序向另一个应用程序请求数据或功能。发送请求的应用程序是客户端；返回响应的应用程序是服务器。API 文档精确定义了这些请求和响应必须如何结构化。
API 如何工作？
什么是 API？API 工作原理完整指南 - API 如何工作？.
把 API 想象成餐厅里的服务员。你（客户端）看菜单并点菜。服务员把订单送到厨房（服务器），然后把你的饭菜端回来。你不需要知道厨房如何运作——你只需要菜单和服务员。
用技术术语来说：
- 客户端应用程序向 API 端点发送结构化的请求。
- 服务器处理请求，通常查询数据库或运行内部逻辑。
- 服务器返回响应，通常采用 JSON 或 XML 等格式。
- 客户端应用程序解析响应并显示或使用数据。
例如，你手机上的天气应用调用天气服务 API 并附带你的位置。API 返回温度、湿度和预报数据。你的应用将这些数据渲染成友好的界面。
API 架构的主要类型
什么是 API？API 工作原理完整指南 - API 架构的主要类型.
API 基于不同的架构风格构建，每种风格在灵活性、效率和复杂性方面都有权衡。
REST API
REST（表述性状态转移）是当今网络上使用最广泛的 API 风格。REST API 使用标准的 HTTP 方法——GET、POST、PUT、DELETE——来访问和操作资源。它们是无状态的，意味着服务器不会在请求之间存储客户端数据。每个请求包含处理它所需的所有信息。
最适合： 公共 Web 服务、移动后端以及大多数现代 SaaS 集成。
SOAP API
SOAP（简单对象访问协议）使用 XML 交换消息。它比 REST 更严格和正式，具有内置的错误处理和安全标准。SOAP 过去更流行，但在需要严格契约的企业和金融系统中仍然常见。
最适合： 遗留企业系统、银行和高合规性环境。
RPC API
远程过程调用 API 允许客户端在服务器上执行特定函数或过程并接收输出。现代变体包括 gRPC，它使用 Protocol Buffers 进行高性能通信。RPC 高效但不如 REST 标准化。
最适合： 内部微服务和性能关键型系统。
WebSocket API
WebSocket API 支持客户端和服务器之间的持久双向通信。与 REST 不同，REST 中客户端必须轮询更新，而 WebSockets 允许服务器实时向连接的客户端推送数据。
最适合： 聊天应用、实时体育比分、股票行情和协作工具。
API 范围：私有、公共、合作伙伴和复合
什么是 API？API 工作原理完整指南 - API 范围：私有、公共、合作伙伴和复合.
API 也因谁可以访问而有所不同：
| 类型 | 描述 | 示例 |
|---|---|---|
| 私有 API | 组织内部使用；连接内部系统和数据。 | 公司内部的人力资源到薪资同步 |
| 公共 API | 向任何开发者开放，有时需要身份验证或付费。 | Google Maps API、OpenWeather API |
| 合作伙伴 API | 仅与授权的业务合作伙伴共享。 | 与批准的商家共享的支付网关 |
| 复合 API | 将多个 API 组合成单个调用以处理复杂工作流。 | 调用库存、支付和物流 API 的结账流程 |
实际 API 示例
API 为几乎每次数字交互提供支持。以下是一些日常示例：
- 天气应用从气象服务 API 获取预报数据。
- 旅行预订网站从航空公司和酒店合作伙伴 API 聚合航班和酒店可用性。
- 社交登录（“使用 Google 登录”）使用身份验证 API 验证你的身份，而无需共享密码。
- 支付处理 — Stripe、PayPal 和 Square 提供 API，让任何网站都能接受付款。
- IP 地理位置服务提供 API，返回给定 IP 地址的位置、ISP 和代理数据。开发者将这些集成到欺诈检测、内容本地化和分析工作流中。
什么是 API 端点？
端点是访问 API 的特定 URL。每个端点对应一个特定的资源或操作。例如：
GET https://api.example.com/v1/users/123
POST https://api.example.com/v1/orders
端点很重要有两个原因：
- 性能 — 如果扩展不当，高流量端点可能成为瓶颈。
- 安全性 — 端点是 API 滥用最常见的攻击面，因此监控和速率限制至关重要。
API 安全：身份验证、密钥和令牌
由于 API 向外部系统暴露数据和功能，保护它们至关重要。两种最常见的机制是：
API 密钥
API 密钥是标识调用应用程序的一长串字符。密钥易于实现，可用于监控使用情况，但安全性不如令牌，因为它们可能暴露在 URL 或客户端代码中。
身份验证令牌
令牌（例如 OAuth 2.0 访问令牌）验证用户的身份及其权限级别。令牌会过期，可以限定特定操作，并且通常比单独的 API 密钥更安全。
其他安全实践
- 速率限制以防止滥用和拒绝服务攻击。
- 输入验证以阻止注入攻击。
- TLS 加密以确保数据在传输中不被截获。
- API 监控以检测异常流量模式或未经授权的访问尝试。
如何测试 API 驱动的连接
无论你是构建 API 还是使用 API，测试都至关重要。常见方法包括：
- 单元测试单个端点以获取正确响应。
- 集成测试以验证多个 API 是否协同工作。
- 负载测试以查看 API 在高流量下的表现。
- 安全测试以探测漏洞，如身份验证失效或数据暴露。
对于开发者和注重隐私的用户，使用面向网络的工具时，验证 API 调用不会泄露敏感信息同样重要。基于浏览器的诊断工具可以帮助确认 DNS 请求、WebRTC 连接和 IP 查询行为符合预期。例如，BrowserScan 的 DNS 和 WebRTC 泄漏测试 让你检查真实 IP 地址是否通过 API 驱动的浏览器功能暴露——对于依赖 VPN 或代理服务的任何人来说，这是一个实用的步骤。如果你正在将地理位置 API 集成到应用程序中，BigDataCloud 的设置指南 通过代码示例介绍了实用的 API 集成模式。
如何创建 API
构建一个开发者信任的高质量 API 涉及五个核心步骤：
- 规划 — 定义用例并编写 API 规范，例如 OpenAPI。
- 构建 — 使用样板代码进行原型设计，然后根据你的需求进行定制。
- 测试 — 在发布前运行功能、集成和安全测试。
- 文档 — 为每个端点编写清晰的文档并附上示例。
- 监控 — 发布后跟踪使用情况、错误和性能。
API 与用户界面：有什么区别？
用户界面（UI） 将人与计算机连接起来——按钮、表单和屏幕是为人类交互设计的。API 将软件与软件连接起来。它对最终用户不可见，并在“引擎盖下”进行机器对机器的通信。一个应用程序通常同时具有两者：面向用户的 UI 和面向开发者或其他系统的 API。
相关阅读
- Pixelscan.dev 设置：浏览器指纹和机器人检测 - 了解如何设置和使用 Pixelscan.dev 进行浏览器指纹分析、机器人检测、代理检查和 DNS 泄漏测试。提供逐步指导并附有实际示例。
- 公共 Wi-Fi 安全：风险、安全提示和测试方法 - 了解公共 Wi-Fi 的真实风险、12 个实用安全步骤，以及如何在浏览前测试连接是否存在泄漏和漏洞。
来源和进一步阅读
- 美国石油学会 | API - 美国石油学会（API）是唯一代表美国石油和天然气行业各个方面的全国性贸易协会。我们更多...
常见问题解答
简单来说，什么是 API？
API 是一组规则，允许两个软件应用程序相互通信。一个应用程序发送请求，另一个返回响应——就像从菜单点餐而不需要知道厨房如何运作。
REST 和 SOAP 有什么区别？
REST 使用标准的 HTTP 方法和轻量级格式（如 JSON），使其灵活且易于使用。SOAP 使用 XML 消息传递，具有严格的标准和内置的安全功能，使其更严格但适用于高合规性的企业环境。
所有 API 都需要身份验证吗？
不是。一些公共 API 完全开放。然而，大多数暴露敏感数据或收费的 API 需要 API 密钥、身份验证令牌或两者兼有。
API 会被黑客攻击吗？
会。API 是常见的攻击向量。保护不当的端点可能暴露数据、允许未经授权的操作或被拒绝服务攻击淹没。身份验证、速率限制、输入验证和监控是必要的防御措施。
什么是 API 网关？
API 网关是位于客户端和后端服务之间的服务器。它从单个入口点处理多个 API 的路由、身份验证、速率限制和监控。
结论
API 是现代软件的支柱——实现跨平台的集成、创新和扩展。无论你是构建 REST 服务、使用合作伙伴 API，还是只是好奇你最喜欢的应用如何工作，理解请求、响应、端点和安全的基础知识都会为你提供实用的基础。随着 API 驱动的连接不断增长，测试这些连接是否存在泄漏和漏洞的重要性也在增加。验证网络和浏览器配置的工具——例如 BrowserScan 的指纹和泄漏测试套件 ——通过帮助你确认应用程序中流动的数据保持私密和准确，补充了 API 开发。要更全面地了解保护数字基础设施，请参阅本指南：互联网安全威胁和测试。
要进一步探索 API，请参阅 AWS 的 API 概述 和 维基百科上的 API 文章。