API接口如何加密传输
在开发一个电商平台时，用户下单、支付、查看订单这些操作都依赖API接口。如果这些数据明文传输，就像把银行卡号写在明信片上寄出去，谁都能看到。所以，API接口的加密传输不是“要不要做”，而是“必须马上做”。
HTTPS是基础防线
最直接的方式是使用HTTPS。它在HTTP基础上加了TLS/SSL加密层，数据在传输过程中被加密，即使被截获也看不懂。开启HTTPS后，浏览器地址栏会出现小锁图标，用户看着也安心。
大部分现代Web服务器（如Nginx、Apache）都支持配置SSL证书。可以使用Let's Encrypt免费获取证书，几行命令就能搞定。
对敏感参数二次加密
光有HTTPS还不够。比如，某些企业内部系统对接，要求关键字段单独加密。这时候可以在应用层再加一层加密，比如用AES对订单金额、用户手机号等字段加密。
举个例子，前端提交订单前，先把金额和收货人信息用AES加密：
const encryptedData = CryptoJS.AES.encrypt(JSON.stringify({ amount: 99.9, name: '张三', phone: '13800138000' }), 'secret-key').toString();后端收到后，用相同的密钥解密：
const bytes = CryptoJS.AES.decrypt(encryptedData, 'secret-key');
const originalData = JSON.parse(bytes.toString(CryptoJS.enc.Utf8));这种方式能防重放攻击，也能避免敏感数据在日志中明文留存。
使用JWT传递可信身份
用户登录后，服务器返回一个JWT令牌，里面包含用户ID和过期时间，用密钥签名。客户端每次请求都带上这个令牌，API验证签名是否有效，就知道请求是不是伪造的。
JWT本身不加密内容，但可以配合JWE实现加密。不过更常见的做法是：JWT只放非敏感信息，敏感操作再单独验证权限。
限制调用来源和频率
即使数据加密了，也不能让谁都来调。可以通过API网关设置白名单IP、校验请求头中的AppKey/AppSecret，甚至结合设备指纹识别异常请求。
比如，某个App的API只允许自家App调用，就在请求头里加一个动态生成的sign：
sign = md5(apiKey + timestamp + secretKey)服务器按同样规则算一遍，对不上就拒绝。这样即使别人抓包拿到URL，没有密钥也伪造不了请求。
数据库接口别忽略内网安全
很多人觉得“内网不用加密”，其实不然。公司内部网络也可能被入侵。如果API服务和数据库之间的通信还在用明文MySQL协议，攻击者一旦进入内网，就能直接拖库。
解决方案是给数据库连接也加上SSL，或者通过SSH隧道、VPN等方式建立加密通道。例如，MySQL连接时加上?sslMode=require参数，确保数据全程加密。
API加密不是一招制敌的事，而是层层设防。从HTTPS到字段加密，从身份令牌到调用控制，每一步都在降低风险。技术不一定要多复杂，关键是根据实际场景选对方法，让数据在路上更安全一点。