WebアプリケーションのAPI隠蔽方法

Question

WebサービスのAPIを隠蔽したいのですが、どうすればいいでしょうか。
目的はシェルなどのユーザ独自実装のプログラムからAPIを叩かれるのを防ぐことです。
概念やツール、何も知らないので取っ掛かりがなくて困ってます。

例えば、Twitterのようなサービスを作る場合、サーバサイドにRest APIを用意しておき、投稿するときはクライアントアプリケーションからRest APIを叩くようにすれば簡単ですがcurlで投稿できるようになってしまいます。

安直な方法だと、データを暗号化してユーザが仕様を推測しづらくする方法が思いつきますが、色々な方法を検討したいと思っています。

Comments

[takasima20]

APIの存在を秘匿するしかないのでは? というか、APIの存在を知りうる人はどんな人か、あたりから整理していったらどうでしょうか。技術的にはムリな気がします。

Answer 1

WebサービスのAPIを隠蔽したい

エンドポイントを隠蔽することは不可能です。

curlで投稿できるようになってしまいます。

curl とWeb ブラウザからのアクセスを区別するのは非常に困難です。

API に認証/認可の考え方を導入することで、API の使用を制限するのが一般的です。
データの暗号化はまた別の話になります。

Answer 2

WebサービスのAPIを隠蔽したいのですが、どうすればいいでしょうか。

基本的には無理ですよ！

Comments

[dodox86]

「基本的には無理」と聞きますと、「では、基本ではない方法では可能なのか。その方法でもいいから知りたいので教えて欲しい。」と思ってしまいます。（クリップした質問でしたので）

[kyoya0819]

横から失礼します。
「基本的に無理」 = 「可能」 なので 「可能」 にしたほうが良いと思います。
認識違いでしたらすみません。

[dodox86]

＞ t.d.soukeiさん
私自身、興味を覚えた質問で、回答しようとしたものの決め手に欠けるので投稿は止め、クリップに留めたものだったのでコメントした迄でした。他意はなく、何かあれば知りたいと思っただけです。失礼しました。