首先，在大家开发网站之前，咱们来了解一下相关的知识
1.什么是api？
api是一个调用接口的意思，相当于给服务器装了一个视觉、听觉、触觉等等。打个比方说，用户在发短信的时候，他调的接口来自于运营商，比如移动、电信、联通、广东等等，这些运营商调用也是有固定的号码。通常短信的逻辑如下
用户请求▷服务器接收到▷服务端处理调用api▷服务器请求调用api短信接口▷调用运营商的路由▷最后到机房开始编辑短信▷确认验证码为随机校验，然后返回给服务器，将验证码校验的结果进行给用户一个验证▶︎并通过运营商调用的短信接口的机房发起发短信请求▶︎手机SIM卡接收机站的短信▶︎最后成功收到短信如下
你的短信验证码为10086。请勿泄露
通常是调用了运营商的接口，缺点是这玩意儿0.5毛，收费为标准。一个短信就0.5毛，如果是更多用户加起来的话，可能是按10块、二十五十一百以上的费用
我们再拿无需收费的接口作为比例
有些用户在发帖或者查看别人帖子时，用到的是什么逻辑？
通常采用的是调用操作数据库的一种形式的接口
原理如下
用户发帖{"标题":"我是张三","内容":"我是张三的生活第一天"}▷向服务器发起请求调用api▷服务端接收后确认是Json格式。并通过内网请求数据库操作▷数据存入字段并返回给服务器请求200ok▷服务器将数据库来自的200 OK转发给手机，显示发布成功
这是发布的基本原理
别人在查看帖子的时候是这样的
用户请求指定帖子比如说http://xxx.xx/post？id=1这个是请求给服务器查帖子的id等于1型号的帖子▷服务器收到请求后转给内网数据库，请求参数叫做翻译（这里的理解就是把你发的查询的指定的帖子进行翻译成数据库易懂的内容，查询数据的字段名字段值，比如说用户查的帖子为1，那么让数据库查的帖子为。点击信息.唯一标识。标识为id=1的帖子）▷服务器收到内网的服务器的请求后通过唯一标识字段进行一行一行的查查到与数据一致的。比如客户要求查的id=1那么数据库要查的是

id等于1的唯一标识的数据

▷返回给服务器数据结果，并返回给用户，将数据进行更新，就可以看到用户发帖的内容

api作为可以调用式接口，它的作用性非常的广泛，但是最容易的就是它容易受攻击
比如一个d d OS就能让调用或者CC两种款式的攻击直接把接口调崩掉
防御策略

1.给调用的接口加上频率限制，查到异常调用的地址直接自动列入黑名单，每次的返回直接404
2.给接口进行二次验证，就是加个安全锁让用户滑动验证，或者拼图验证，或者看图点目标物体验证等等，这样可以避免恶意调用
案例：知道为什么有些人能做一个网站出来，他们内置了短信轰炸的一种常规武器。？其实常规武器很简单，一个用户发起接口请求时，服务器收到并把所有的接口全都通过指定号码发送，全都调用，向这个目标发起短信轰炸，导致第二个老李的手机哐哐直响。通常叫做短信骚扰，也是调用那些没有被上防御的接口之一
更何况这就是调用接口当中，恶意调用的也会费钱，调的越多费的钱就越大，相当于你在帮攻击者烧钱。？!<
2.什么是数据库？
顾名思义，数据库是脚本小子都攻不进来的一种常规手段，用于保护用户们的个人信息。它的常规手段在于，即使攻击者打到服务器了，但死活翻不到用户们的账号密码和个人信息，其实真正的个人隐私全都放在数据库。不是在服务器上公开泄露
数据库只能通过服务器的中转请求叫做内网请求。举个例子
10.×.×.×这是用户发起服务器目标请求25.×.×.×这是服务器向内发起请求172.0.0.1
数据库的优点就是不会在公网上进行公开暴露，也能存字段名和字段值，它们的格式如下
{"字段名":"字段值","字段名2":"字段值2"}
用这些数据来作为发起请求、修改、删除等等操作，都是在于服务器中转的翻译给数据库的一种常规
但是有手段会将数据库进行恶意获取
SQL注入。常规的手段就是脚本小子发现小明的服务器攻不进去，于是想了一招SQL注入性攻击，直接在输入框中除了账号密码之外，顺便输入了特殊符号运算符进去，结果呢，直接把所有人的信息直接搞到手，这就是所谓的注入性攻击。常规的手段就是老板看到你想查一下你的身份，要求账号密码提交你的话，正常用户是123，账号密码123，然后对比数据库确认无误后就放行。如果密码错误或者没有账号相关的，就是账号不存在的，直接当场拒绝在门外，但凡你是脚本小子动点脑子的话，直接输入了账号密码之外输入了特殊字符进去之后，人家数据库是个憨憨玩意儿，他知道能不能查到用户1=1的用户最后彻底从后台管理破解成功，悄悄进入了，拿到了任何信息，发现身份证被泄露了。这就是所谓的SQL注入性攻击防御的基本手段就是加过滤方案，就是把那些不必要的符号进行过滤掉，以防止攻击者攻击到数据库，或者再加个最小权限处理，防止数据库大概率被删除、跑路等情况。还有的手段就是操作审计来看看谁在操作
数据库不一定安全，但是它能防的就是基础的脚本小子，用户们的请求都通过服务器的内网接口进行调制数据库操作、删除、修改、查询、添加等操作。例如登录、注册账号、实名认证，以及发视频、发帖、看视频、看帖子、点赞、收藏、评论等任何操作
记住，数据库的性能有限，到后面性能越差的情况下，但凡用户再多，数据库忙不过来，就出现容易崩的现象。记得给服务器多加点处理的帮手少给他添负担
3.域名
域名顾名思义你家的电话簿的号
你可以想象成这个样子
张三▷10010
老李▷14475
老王▷15521
这就是所谓的电话簿
你可以想象成它是DNS解析
sxx.cn=14.×××.×××.×××
axx.cn=37.xxx.xxx.xxx
g.com=47.xxx.xxx.xxx
跟电话簿是不是一模一样？
什么是域名？它就是访问网站的基础手段，但它有个优势，就是只要你服务器的地址定期更换，数据迁移，那么旧的不要了，换成新的话，域名也是不受影响的，用户也可以通过域名进行访问。也可以将域名进行修改地址即可完成。当用户请求服务器的时候比如说如下
用户请求查xxx.xx域名▷通过DNS服务器进行查询。有的DNS服务器是（8.8.8.8或者3.3.3.3这些事举个例子实际上可能真的有）▷域名DNS解析后发现这个域名指向xxx.xx=47...***▷最后把服务器地址给他拉了进来，返回给手机，让手机知道这个域名的目标指向的是这个地址。然后就顺着这个地址找到了目标服务器
今天来看看这些常规的案例你要做好防御
有些人想知道，正规的域名为啥访问之后里面全是黄色内容或者不良内容，或者卖什么什么不干净的内容？其实这个问题你真问到点子上了，这就是所谓的DNS劫持生效。DNS劫持指的是人家黑客通过网线顺着你目标服务器的指路牌，把人家的主机的目标地址篡改成了不良服务器，就是已经设通好的钓鱼网站，你一个憨憨的输入账号密码进去不久号就被盗了。这就是所谓的DNS劫持，它的目标就是把DNS服务器的电话簿进行恶意篡改，就是恶意解析的意思。把你的平台的服务器的地址进行调包，换成钓鱼的网站。防御的方法就是采取防被劫持DNS的策略，阿里云系统上是有自带的，其他云厂商的话或许也有，但不一定
所以光有域名，它的目标就是如果用户想访问域名的时候，记得备案，顺便把服务器加上层层防御即可。不备案的域名将无法正常访问
4.CDN
CDN就是分布式资源站点。原理很简单，当你想要请求服务器的时候，CDN就生效了。为了让你访问速度快一点，会优先找距离最近的站点进行给你分配资源访问，一般CDN的刷新时效为5分钟，最大一天。相当于服务器分配的那些缓存交给CDN。CDN作为手机访问的临时缓存，然后分配给用户。既可以低延迟访问，也可以防攻击，因为它的目标就是给服务器的真实地址进行隐藏，显示出来的就是一个伪造的假公网，攻击者打进来的简直就是跟空气差不多。但它有个漏洞，就是它不一定百分百防御，像那个CC攻击的就是频繁请求操作，就能瞬间将这个服务器的数据库及硬件资源全都匮乏，直接冒烟。CDN将那些正常的流量以及恶意流量全都误判成正常用户
最好的防御就是把流量池清洗进行框大一遍又一遍，这样也能防CC攻击的同时也能防ddos打进来，顺便再弄一个限制和封禁操作，如果封不过来的大不了再搞个WAF防火墙。即可完成真正的防御CDN也是基础防御策略
5.弹性公网？
弹性公网不陌生吧，就是所谓的云厂商自带的云厂商专属的内置公网。跟家里的光猫与众不同的是，家里的光猫的公网是关闭后重启，将重新从运营商取得新的地址，旧的当垃圾扔了。但是优点是可以让用户请求返回的数据进行拉回来，但不适应的就是其他用户请求该光猫地址公网。比如说有些用户想顺着公网地址进行访问他人的手机，其实恰恰被运营商这一关拦截，没有申请领公网的真正的，也就没法正常互联互通。有人说过，云厂商为什么有公网，他们能访问，我们却不行呢？嘿嘿，你这问题问到点子上了，其实人家云厂商早就跟运营商打量商量好了，公网是运营商分配的，真正可以访问的，没有拦截性，任何访问都能进得来的之一就是目标服务器请求，而服务器是被动而不是主动。公网的话，也可以给服务器进行定期更换，相当于把旧的扔了，新的换在新上攻击者即使扒出了公网地址，顾名思义，扒了个空气出来不成。这样再给它配上域名的话，让它效应热得很好，5分钟刷新一次缓存更新即可。弹性公网它也可以直接性访问，不是光访问地址，而是访问端口，也能作为项目端口的话，从低一直到高，是完全掌握访问策略的，例如，这些都是请求协议的默认指向端口
80(http)443（https）80这个端口是明文传输不安全。给大家讲个理解的知识，就是不安全的铭文，最容易的就是被中间人窃听，而且最容易的就是篡改的问题，很不安全
HTTPS这种是443的端口采用的是SSL证书加密，就相当于80端口是名文，这封信没加锁谁都能打开。加了HTTPS的SSL证书的协议的一封信谁都不能打开，除了目标者。给这封信刻上名字再加了把锁。
好了，以上讲解知识这到后面的听得明白的可以在评论区回复一下，如果再讲更多专业内容的，可以随时在评论区反映一下