模块四：Web应用与API安全防御.docx

模块四：Web应用与API安全防御

完整实战手册（独立学习资料版）

1.导论：LLM应用API安全的特殊性

1.1传统API安全vsAIAPI安全

维度

传统API安全

AIAPI安全

输入验证

检查数据类型、长度、格式

还需检测语义层面的恶意指令

输出控制

防止信息泄露、XSS

还需过滤有害内容、幻觉信息、PII

认证授权

OAuth2.0、JWT

还需API密钥指纹、模型权限Scope

速率限制

按请求数/IP

还需按Token消耗、模型复杂度

审计日志

记录请求/响应

还需记录Prompt/Response内容

威胁模型

SQL注入、XSS、CSRF

提示注入、模型窃取、Ag