API key是什么？它有什么作用和风险？

API key是一个用于识别和验证应用程序或用户的代码。API key是英文Application Programming Interface（应用程序编程接口）的缩写，它是一种允许软件程序之间交互、共享数据和集成功能的技术。API key通常是一个独一无二的字母数字字符串，包含在API调用中，由API接收并验证。许多API使用key来跟踪使用情况并识别无效或恶意的请求。

API key在API请求中通常有两个主要功能：

项目认证：API key标识了请求API的应用程序，让API知道请求来自哪个项目。每个项目都有一个与之对应的唯一的key，以便于区分不同的项目。
项目授权：API key告诉API请求的应用程序是否有权限使用API以及可以访问哪些API的服务。即使一个应用程序可以访问一个API，它也可能只被授权使用该API的有限的服务集合。根据请求中提供的API key，API会与其客户端数据库进行核对，然后接受或拒绝请求。如果请求被接受，API会根据客户端的访问权限，授予客户端访问其数据和功能。

此外，API所有者使用API key来监控API活动，包括来自单个客户端的请求类型和请求量。由于每个请求都有一个相关联的key，所以API所有者可以按照key进行过滤，并查看来自特定客户端的所有请求。这种监控能力对于保护API免受有害流量的影响至关重要。黑客经常通过各种方法攻击API，例如伪造凭证来注入恶意代码或者用大量的请求使API服务器过载。有了key，一个API就可以消除匿名的机器人流量或者阻止来自某个用户的请求。

需要注意的是，API key标识了项目和应用程序的请求，而不是个人用户的请求。

HTTP API（基于HTTP协议的API）可以通过多种方式发送key：

在查询字符串中：POST/something?api_key=abcdef12345HTTP/1.1
作为一个请求头：GET/somethingHTTP/1.1X-API-Key:abcdef12345
作为一个cookie：GET/somethingHTTP/1.1Cookie:X-API-KEY=abcdef12345

API key通常不被认为是安全的；它们通常对客户端是可见的，这使得别人很容易窃取一个key。一旦key被窃取，它就没有过期时间，所以它可能被无限期地使用，除非项目所有者撤销或重新生成key。由于key只能对客户端和服务器可见，所以使用key进行认证只有在与其他安全机制（如HTTPS）结合使用时才被认为是安全的。

在2017年，Fallible（一家总部位于特拉华州的安全公司）检查了16000个安卓应用，并发现其中超过300个包含了硬编码的key，这些key用于访问Dropbox、Twitter、Slack等服务。