API 与 Bot 防护
API 与 Bot 防护：从网站防护升级到应用与 API 全面防护
NGFW One API 与 Bot 防护在 WAF 之上自动梳理 API 资产，发现未授权访问、越权与敏感数据暴露，并通过行为分析区分真人、良性爬虫与恶意 Bot，抵御撞库、刷接口、薅羊毛和 CC 攻击。
问题
为什么需要API 与 Bot 防护
业务越来越多以 API 形式对外提供，接口多、文档不全，「僵尸 API」和越权漏洞难以发现；撞库、抢券、爬价格等自动化攻击看起来又和正常请求几乎一样。
工作原理
它是怎么工作的
- 流量学习
- API 资产梳理
- 异常与越权检测
- Bot 行为识别
- 拦截 / 限速 / 人机验证
核心能力
API 与 Bot 防护能做什么
API 资产发现
自动发现接口、参数和调用方，标记新增、废弃和未登记的 API。
敏感数据暴露
发现返回身份证号、手机号等敏感数据的接口。
API 安全策略
支持 OpenAPI 规范校验、参数校验、鉴权检查与调用频率限制。
Bot 管理
基于行为、指纹与挑战识别恶意 Bot，放行搜索引擎等良性爬虫。
业务防刷
针对登录、注册、短信验证码、下单等接口的专项防护。
AI 加持
行为模型学习每个接口的正常调用模式，发现撞库、遍历 ID 越权等低频但危险的异常。
融入闭环
API 与 Bot 防护的检测结果和处置动作会进入「蜜罐 → 审计 → 封停」闭环，与其他能力联动。 了解闭环