API 网关 + 边缘安全加速 EdgeOne 拦截爬虫｜Bidfins 多平台代购接口安全实践

摘要

Bidfins 同时对接雅虎代拍、煤炉自动代拍、乐天多套日本 API，恶意爬虫、高频扫描频繁触发日方风控封禁账号。基于腾讯云 API 网关 + EdgeOne 一体化防护，提供后端 AK/SK 签名校验代码，恶意请求拦截率 99.7%。

一、接口安全风险

1. 批量脚本扫描商品，日方接口封禁我方爬虫账号；

2. SQL 注入、XSS 尝试读取保证金敏感数据；

3. 无限流，单 IP 每秒千次请求打垮煤炉自动代拍服务。

二、防护架构

1. EdgeOne 全球边缘拦截 CC、爬虫、Bot；

2. API 网关统一收口所有后端接口，分层限流、AK/SK 鉴权；

3. 区分普通用户、中古商家两套限流策略。

Java 签名校验核心代码

java

运行

import com.tencentcloudapi.common.Sign;// 校验API网关转发请求签名public boolean verifyGatewaySign(HttpServletRequest req) {

    String appKey = req.getHeader("X-TC-AppKey");

    String signStr = req.getHeader("X-TC-Signature");

    String ts = req.getHeader("X-Timestamp");

    String secret = APP_SECRET_MAP.get(appKey);

    String raw = req.getMethod() + req.getRequestURI() + ts;

    String calcSign = Sign.sha256(raw, secret);

    return calcSign.equals(signStr);}// 网关配置：普通用户60次/分钟，商家白名单600次/分钟

安全指标

日均拦截恶意请求 136 万次，无煤炉、雅虎 API 封禁事故。