我是否可以通过只允许来自本地主机的连接来充分保护管理门户？

Question

我可以通过只允许访问IP为127.0.0.1的人来充分保护API资源吗？这当然假设API驻留的服务器受强密码和密钥文件的保护。

Answer 1

一些更多的情况下是有用的，因为@quinz评论，但这里有可能会影响你，即使攻击者不能在你的服务器上得到一个shell的一些常见的Web应用程序的问题：

• 一Server-Side Request Forgery攻击可以用来使服务器代表攻击者发出请求。这些请求将源自localhost。根据特定的漏洞和管理API端点，这种攻击可用于泄露数据或发出状态变更请求。
• 假设管理员有时使用服务器上的浏览器（可能访问管理界面），则可以使用Cross-Site Request Forgery攻击向管理API发出状态更改请求。通常CSRF要求受害者登录到应用程序，但这不适用于此：他们只需要浏览localhost的网站。
• 同样，Cross-Site Scripting攻击可用于强制管理员从localhost浏览器向API服务发出请求。例如，假定有一个Web应用程序组件，而不仅仅是一个REST API。