我一直在阅读关于保护REST API的内容,了解到oAuth和JWTs这两种方法。它们都非常优秀,但据我所知,它们都是在用户经过身份验证或者说“登录”之后才能发挥作用。基于用户凭证产生oAuth和JWTs,一旦获得了oAuth令牌或JWT,用户就可以执行其被授权的所有操作。
但我的问题是,登录和注册API该如何保护?如果有人阅读我的JavaScript文件以查看我的Ajax调用,他们可以轻松找到终端点和传递的参数,并且他们可以通过某些REST客户端多次访问它,更严重的是他们甚至可以编写一个程序来攻击我的注册API,比如创建一千个垃圾用户,或者使用暴力破解攻击我的登录API。那么该怎样保护它们呢?
我正在使用yii2编写我的API。