保护数据 API 生成器解决方案

数据 API 生成器通过 REST 和 GraphQL 终结点公开数据。 保护 API 需要注意三个核心领域： 身份验证 （谁正在调用？）、 授权 （可以做什么？）和 传输安全性 （连接是否受保护？

安全三大支柱

选择身份验证提供程序

数据 API 生成器支持多个身份验证提供程序。 选择与您的部署方案匹配的选项：

身份验证

身份验证会验证调用方的身份。 数据 API 生成器通过验证 JWT 持有者令牌（EntraID/AzureAD， Custom）或信任平台提供的标识标头（AppService， StaticWebApps）对请求进行身份验证。 Simulator 在开发过程中跳过外部验证。

工作原理

1. 对于 JWT 提供程序，客户端从身份提供商获取令牌
2. 客户端将令牌发送到 Authorization: Bearer <token> 标头中（JWT 提供程序），或由平台注入身份标头 (EasyAuth/SWA)
3. 数据 API 生成器验证令牌或平台标头（颁发者、受众、JWT 提供程序的签名）
4. DAB 从令牌或标识标头中提取用户的角色

快速参考

有关提供程序特定的配置，请参阅本节中的身份验证指南。

授权

授权决定经过身份验证的（或匿名）用户可以执行的操作。 数据 API 生成器使用基于角色的访问控制（RBAC）来限制对实体和作的访问。

工作原理

1. DAB 根据令牌和标头为请求分配一个角色
2. DAB 查询该角色对应的实体权限
3. 如果角色具有请求操作的权限，DAB 将执行查询
4. 否则，DAB 返回一个403 Forbidden 响应。

系统角色与用户角色

默认安全

默认情况下，实体没有权限。 必须显式授予访问权限：

{
  "entities": {
    "Book": {
      "permissions": [
        { "role": "authenticated", "actions": ["read"] }
      ]
    }
  }
}

有关详细配置，请参阅 授权概述。

行级与字段级安全性

在实体级别权限控制基础上实现细粒度访问控制：

角色继承

DAB 2.0 引入了实体权限的角色继承。 继承链为 named-role → authenticated → anonymous. 如果未为实体显式配置角色，则从下一个更广泛的角色继承。 在anonymous上定义一次权限，每个更高级的角色都获得相同的访问权限。 有关详细信息，请参阅 角色继承。

传输和配置安全性

运输安全

• 对所有连接使用 TLS：加密客户端和 DAB 之间的流量
• 禁用旧版 TLS：仅依赖于 TLS 1.2+
• 使用 HTTPS 端点：在生产环境中切勿通过未加密的 HTTP 暴露 DAB

有关详细信息，请参阅 安全最佳做法。

配置安全性

• 将机密存储在环境变量中：在 @env('SECRET_NAME') 配置中使用
• 使用 Azure 密钥保管库：使用 @azure('key-vault-uri') 引用密钥
• 机密信息绝不提交：确保 dab-config.json 中不含有密码和连接字符串

{
  "data-source": {
    "connection-string": "@env('SQL_CONNECTION_STRING')"
  }
}

监视和更新

• 监视访问：使用 Application Insights 跟踪请求并检测异常
• 查看日志：检查失败的身份验证尝试和权限拒绝
• 使 DAB 保持更新：通过升级到最新版本来应用安全修补程序

快速入门指南

相关内容

• 配置未认证提供程序
• 配置 Microsoft Entra ID 身份验证
• 授权概述
• 安全最佳做法
• 运行时配置参考