4、API安全机制：认证方式、签名算法、IP白名单与频率限制

风控规则引擎的API直接暴露在公网或内网核心链路上，承载着实时决策、名单查询、模型评分等敏感操作。一旦安全防线被突破，攻击者可以伪造请求、篡改参数、耗尽资源甚至窃取规则逻辑。本章从认证、签名、网络准入、流量控制四个维度，构建纵深防御体系。

4.1 认证方式：API Key 与 OAuth 2.0

认证是API安全的第一道门。风控场景下，我们主要采用两种认证模式：API Key 适用于服务间直连、低延迟的内部调用；OAuth 2.0 适用于需要委托授权、多租户隔离的开放平台场景。

4.2 签名算法：防篡改与防重放

仅靠认证凭证无法防止请求在传输过程中被篡改。签名机制对请求参数、时间戳、Nonce进行哈希计算，服务端验签后拒绝任何非法或重放的请求。

标准签名流程

1. 拼接待签字符串： 按参数名ASCII字典序排序，拼接为 key1=value1&key2=value2，末尾追加 &timestamp={unix_ms}&nonce={随机字符串}。
2. 计算签名： 使用HMAC-SHA256，密钥为API Secret，对上述字符串计算摘要，输出Hex字符串。
3. 传输： 将签名放入HTTP Header X-Signature，同时传递 X-Timestamp 和 X-Nonce。
4. 服务端验签： 检查Timestamp是否在允许时间窗口内（如±5分钟），检查Nonce是否已使用（Redis Set去重），然后使用相同算法重新计算签名并比对。

// Java 签名示例
public static String generateSignature(String secret, Map<String, String> params, long timestamp, String nonce) {
    // 1. 排序并拼接参数
    TreeMap<String, String> sorted = new TreeMap<>(params);
    StringBuilder sb = new StringBuilder();
    for (Map.Entry<String, String> entry : sorted.entrySet()) {
        sb.append(entry.getKey()).append("=").append(entry.getValue()).append("&");
    }
    sb.append("timestamp=").append(timestamp).append("&nonce=").append(nonce);
    // 2. HMAC-SHA256
    Mac mac = Mac.getInstance("HmacSHA256");
    SecretKeySpec keySpec = new SecretKeySpec(secret.getBytes(StandardCharsets.UTF_8), "HmacSHA256");
    mac.init(keySpec);
    byte[] hash = mac.doFinal(sb.toString().getBytes(StandardCharsets.UTF_8));
    // 3. 转Hex
    return Hex.encodeHexString(hash);
}

4.3 IP白名单：网络层准入控制

IP白名单是最简单有效的网络层防护手段，尤其适用于内部服务间调用或已知合作伙伴的固定出口IP。风控规则引擎通常部署在私有网络或专线环境，白名单策略可以拦截绝大多数非授权扫描和攻击。

• 静态白名单： 在API网关或负载均衡器上配置允许访问的源IP列表，拒绝其他所有来源。适用于调用方IP长期固定的场景。
• 动态白名单： 结合服务注册中心或CMDB，自动同步调用方服务的Pod IP或NAT出口IP。适用于Kubernetes等动态基础设施。
• 混合策略： 对敏感接口（如规则发布、模型更新）启用IP白名单 + 签名双重校验；对查询类接口仅做签名校验，降低运维复杂度。

4.4 频率限制：防止资源耗尽与滥用

风控引擎的决策接口通常对延迟极其敏感，突发流量或恶意调用可能导致服务雪崩。频率限制（Rate Limiting）从三个维度保护系统：

常用限流算法对比

• 令牌桶： 允许突发流量，平均速率稳定。适合风控决策这种有突发查询但整体可控的场景。
• 漏桶： 强制平滑流量，不允许突发。适合下游处理能力固定的场景。
• 滑动窗口： 精确控制时间窗口内的请求数，避免临界突变。适合对峰值敏感的接口。

// 基于Redis + Lua的令牌桶限流脚本（原子操作）
local key = KEYS[1]                -- 限流key
local rate = tonumber(ARGV[1])     -- 令牌生成速率（个/秒）
local capacity = tonumber(ARGV[2]) -- 桶容量
local now = tonumber(ARGV[3])      -- 当前时间戳（秒）
local requested = tonumber(ARGV[4])-- 本次请求消耗令牌数

local ttl = math.ceil(capacity / rate * 2)
local last_tokens = redis.call("hget", key, "tokens")
local last_refreshed = redis.call("hget", key, "timestamp")

if last_tokens == false then
    last_tokens = capacity
    last_refreshed = now
else
    last_tokens = tonumber(last_tokens)
    last_refreshed = tonumber(last_refreshed)
end

local delta = math.max(0, now - last_refreshed)
local new_tokens = math.min(capacity, last_tokens + delta * rate)

if new_tokens >= requested then
    redis.call("hset", key, "tokens", new_tokens - requested)
    redis.call("hset", key, "timestamp", now)
    redis.call("expire", key, ttl)
    return 1  -- 允许请求
else
    return 0  -- 拒绝请求
end

4.5 安全机制整体架构

下图展示了风控规则引擎API的完整安全防御链路，从网络层到应用层层层递进，形成纵深防御体系。

4.6 安全机制配置清单

在风控规则引擎上线前，请逐项确认以下安全配置已生效：