* API网关，限流等 * 身份鉴定，`Oauth2.0` `JWT` `token` `不对称加密` * 内容防篡改：强制`HTTPS`通信，最新的系统采用 `http/2` * DDoS攻击，设置防火墙，API调用频率 * 注入攻击，输入校验，编解码，输入过滤 * 同源策略，正确配置CORS来防止异常调用，只对浏览器有效。移动端分发证书或`token`来验证 * 中间人攻击，提示用户处于不安全网络，有攻击风险自行规避