如何安全调用搬瓦工API？

搬瓦工的 API 能让用户通过脚本远程管理 VPS，但如果密钥泄露或请求被拦截，后果往往比手动操作更严重。下面从协议、凭证、请求策略以及监控四个维度，拆解出一套实用的安全防护方案。

协议层面的防护

• 强制使用 https://api.64clouds.com/v1/，所有流量必须走 TLS 1.2 以上，避免明文传输。
• 在客户端开启证书验证（curl --tlsv1.2、requests.verify=True），不接受自签证书。

API Key 的安全存储

API Key 相当于服务器的根密码，必须从代码库、日志甚至终端输出中彻底剔除。推荐的做法是：

• 在部署机器上使用环境变量或操作系统的密钥管理服务（如 Vault、AWS Secrets Manager），运行时读取。
• 将密钥写入仅限 600 权限的本地文件，确保只有运行用户可读。
• 每 90 天或检测异常后强制重置，旧密钥立即失效。

请求方式的选择

GET 请求会把 veid、api_key 拼进 URL，浏览器历史、代理日志甚至服务器访问记录都可能泄露。实际生产环境应统一使用 POST 并将参数放在请求体内。

# curl 示例（POST + JSON）
curl -X POST "https://api.64clouds.com/v1/getServiceInfo" 
     -H "Content-Type: application/json" 
     -d '{"veid":"12345","api_key":"${API_KEY}"}' 
     --tlsv1.2 --silent --show-error

# Python requests 示例（安全读取环境变量）
import os, requests

url = "https://api.64clouds.com/v1/getServiceInfo"
payload = {"veid": "12345", "api_key": os.getenv("BWG_API_KEY")}
resp = requests.post(url, json=payload, timeout=5, verify=True)
resp.raise_for_status()
print(resp.json())

速率限制与异常监控

搬瓦工对每个账号在 15 分钟和 24 小时窗口都有调用点数上限。建议在脚本层面实现退避（exponential backoff），并在每次请求后记录 remaining_points_15min、remaining_points_24h，当剩余点数低于阈值时自动暂停。

同时把 API 调用日志推送到 SIEM 系统，匹配异常 IP、异常时间段或异常指令（如 basicShell/exec）后触发报警，防止被盗用后批量执行破坏性命令。

把以上措施落实到 CI/CD 流水线，确保每次部署都经过密钥审计、TLS 检查以及速率阈值验证后再上线。只要链路、凭证、行为三环紧扣，搬瓦工 API 的安全风险就能被压缩到可控范围。