内网 Webhook 直接公网暴露太危险？试试这套接口防护方案原创

大家好，今天给大家实操演示zero news API g如何防护内网web poook接口。很多企业的回调接口基本都是直接通过公网暴露，这样的做法很容易被扫描，被恶意调用。本期我们就用本地模拟的web hook服务，一步步配置路由白名单、地域地址围栏、basic off三层防护，不用修改后端代码，快速给接口筑牢安全防线。Web hook的API我们定位于给针对国内的用户全体提供服务，这时候IP黑白名单就不太适合，因为用户的IP不固定，这里就需要用地址围栏通过地域进行控制用户访问。接下来我们用这个API服务来验证zero news的API gateway功能特性。这里客户端已经安装好了，客户端的安装教程可以看我们往期视频。接着我们再创建个域名，然后再添加API服务的隧道，在控制台的自定义域名界面添加域名前缀为。

Web hook a PA域名添加完成后，再到隧道管理界面中添加隧道指向API服务公网域名选择自定义web hook API前缀域名内网IP指向127.0.0.1，端口为18081，点击确认。隧道添加完成后，测试下API服务的隧道是否能正常访问。我们用浏览器来测试接口，浏览器输入health这个网址访问正常，在输入web hook call back这个网址访问正常。在检查域名的TLS证书，证书都是由z news负责证书生命周期管理，用户不需要再部署engines和TLS证书。下面来到可观测性菜单下，查看一下隧道的访问日志，找到映射访问日志，在日志中我们能看到每一个访问API的请求日志如。

求访问的来源、IP、请求方法、返回状态码、请求路径、请求时间等信息，这对后期的故障排查很有帮助。下面进行web hook的API服务策略验证。先配置路由白名单，路由白名单主要是控制API下哪些路由路径能访问，其他的路由路径都拒绝访问，实现最小化的暴露面，只暴露所需暴露的路由。在隧道管理菜单下找到web hook这条隧道，点击右侧流量策略图标，选择路由白名单，再点击右侧编辑，点击开启，然后输入白名单路径，这里分别输入health和I piv one web hook call back这两个路由。我们测试一下效果，浏览器输入healths访问正常，浏览器输入web hook call back访问也正常，浏览器再输入斜杠admin显示无法访问，因为admin不在白名单列表中，所以不能访问。下面进行第二项防护地址围栏策略配置。地址围栏是按地区、省份、国家的维度进行访问控制，可以配置允许或拒绝访问的省份及国家，这里我们配置只允许国内用户访问。在隧道的流量策略中配置地址围栏，点击右侧编辑。

启用策略。我们先做一个小测试，我们仅允许北京访问，然后保存我们在访问health，因为我在广东，所以显示无法访问符合预期web po call black也无法访问。然后再修改策略，勾选只允许国内用户访问，点击保存，这时候再访问health，就显示可以访问web hook call back也可以访问，这个就是地址围栏的实现效果。最后进行第三项防护，Basic off健全策略配置，因为API接口没有健全，所以我们再给接口添加一个base off的健全认证配置后，用户必须携带账号密码才能访问API服务。在隧道的流量策略中配置bases，点击右侧编辑，点击开启，在凭证列表里输入用户名和密码，后面访问时需要用到这个用户名和密码，点击保存，现在验证一下效果，直接访问health。

提示需要用户名和密码，这里就说明basic of的策略已经生效了。这里提醒一定要输入前面配置的正确的用户名和密码才能正常访问。以上就是zero news网关防护外b poook接口的完整实操流程，通过路由白名单缩小报个面地址围栏限制访问地域，Basic off增加身份校验。如果你的业务也有对外web hook开放API需求，不妨试试这套轻量化安全方案，我们下期再见。