随着互联网应用的普及，Web API作为数据交互的核心，其安全性显得尤为重要，为了确保自家网站或APP能够安全地调用API，而防止外部非法调用，以下是一些关键的防护措施。
一、验证机制（权限控制）
API接口的安全防护首要任务是建立验证机制，这不仅是防止非授权调用的关键，也是确保数据传输安全的基础。
二、服务器端控制
所有的权限校验和流程控制都应在服务器端实现，客户端虽然不可避免，但只有当流程合法时才能被允许访问。
三、针对不同应用的鉴权方案
1、对于网页： OAuth 2.0是一种常用的鉴权方式，它允许第三方应用在用户授权后访问其数据。
2、对于App： Authorization Code flow是App鉴权的主要流程，它通过代码换取访问令牌，从而进行API调用。
四、API接口鉴权技术
1、Cookie + Session机制
虽然这是一种传统的会话管理方式，但在Web API的鉴权中仍然有其应用，通过服务器生成的Session来保存用户状态，并利用唯一的SessionID存储在客户端Cookie中来实现，但此方法存在跨平台性差、安全风险高等问题。
2、Token机制
Token是新兴的鉴权方案，被广泛应用于现在的Web API中，Token由服务器生成并发放给客户端，所有的API请求都会带上这个Token，由服务器端校验其合法性，这种方法真正实现了无状态，适合分布式应用，且性能高、安全性好。
Token的具体实现形式包括：
自定义实现Token
Json Web Token (JWT) - 一种主流的Token规范
OAuth - 本质上是授权规范，其中也用到了Token
3、HTTP Basic Authentication认证机制
虽然HTTP协议本身带有认证机制，但日常很少使用于Web API的鉴权，除非配合HTTPS使用。
五、增强安全性的措施
除了上述技术手段，还应考虑以下几点来增强API的安全性：
定期更新和修复API的安全漏洞。
对API调用进行流量监控和日志记录。
使用HTTPS协议来保障数据传输的安全。
对API调用方进行身份验证和权限校验。
保护Web API接口免受非授权调用是一个综合性的任务，需要从技术、管理和安全等多个方面进行考虑和实施，通过上述措施，可以有效地确保只有合法的调用方才能访问API，从而保障数据的安全和应用的稳定运行。