近 40% 的 API，同时背着不止一个认证风险

THALES
THALES

IMPERVA

2026年10月14日 10:00
上海

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

IMPERVA API SECURITY · 2026 令牌与认证风险报告

近 40% 的 API， 同时背着不止一个认证风险

基于真实检测数据（而非问卷）连续第二年追踪：最值得警惕的不是某个百分比，而是藏在所有数字下面的那个“风险聚集”规律。

2026 年 8 月 13 日 · Imperva（Thales）API Security 团队 · 报告期 2026

这是 Imperva API Security 连续第二年发布的令牌与认证风险基准，聚焦企业在真实环境中如何使用 JWT、Basic 认证与令牌生命周期。样本来自 1,104 个客户环境、32,725 个在线 API 端点的真实检测，而非自我填报。有好消息，也有真正该担心的事——而埋在头条数字下几层的发现，解释了为什么多数组织“修错了优先级”。

真实检测样本 · 三个关键数字

1,104

客户环境
真实检测数据，非问卷

32,725

在线 API 端点
逐年对比五类风险

≈40%

多风险并存
13,016 个端点同时携带多种认证风险

五类风险 · 同比

好修的在变好，难查的在变坏

以下数据为五类风险占当年真实检测的比例：2025 → 2026。

三项改善：都有明确、广为人知的修法

弱签名算法签发 JWT

19.0% → 15.2% · 相对下降 20%（改善最大）

令牌寿命过长

21.0% → 19.2% · 小幅下降

仍用 Basic 认证传递原始凭据

9.0% → 7.3% · 持续收敛

两项恶化：藏在实现细节里，且最直接通向数据泄露

令牌内含敏感数据（占比最高的一类）

46.0% → 49.8%

已接近全部检测的一半。JWT 默认不加密、通常只是 base64 编码——任何看到令牌的人都能读出内容，无需漏洞；日志、共享电脑的浏览器存储、调试工单里粘贴的请求，都会成为泄露途径。

令牌过期后仍能访问

5.0% → 8.5% · 相对上升 70%（波动最剧烈）

这本是最“机械”、最该做对的一件事。失败常因：过期只在中心认证服务查了一次，令牌被使用的其他地方没有各自独立复核。过期是所有令牌假设的“最后防线”，它一松，建在其上的一切都悄悄变弱。

改变结论的发现

认证风险通常“不单独出现”

逐端点追问“五类风险是否同时出现在同一个 API 上”，答案是：32,725 个端点中有 13,016 个（近 40%，约每 5 个里有 2 个）同时携带不止一种认证风险。这不是边缘情况。一个令牌既可能在日志里泄露，又因过期不被拦截而持续泄露——系统里没有任何东西把它切断。

极端案例：风险最高的单个端点五类风险同时具备（敏感数据、弱算法、超长寿命、Basic 认证、过期仍可访问）。这类端点往往不是五个独立错误，而是一个被遗忘的遗留或低频端点，在整体升级时从未被触碰。

容易查的在变好，难以查的在变坏

“看得清”的问题

“签名算法够不够强”是扫描器几秒钟就能回答的是非题；“是否还在用 Basic Auth”几乎出现在每份审计清单上。这类问题有单一、广为人知的修法，行业已经相当擅长。

“看不清”的问题

“令牌里到底放了什么数据、加字段后有没有人复查”“每个校验方是否各自独立复核过期、还是只信任网关”，需要理解系统实际如何构建。扫描器看得出弱算法，却很难看出同一个令牌还装着客户生日。

给安全与工程团队的优先级建议

1｜先把令牌“清空”

JWT 默认仅 base64、并非加密。不要在令牌里放姓名、邮箱、账号等敏感信息；新增字段时把“令牌内容”当作需要复查的决策。

2｜在每一处独立强制过期

不要只在中心认证服务检查 exp；每个消费或校验令牌的服务都应独立复核，杜绝“只信任网关”。这是所有令牌假设的最后防线。

3｜发现一个问题，就排查同一端点上的其他问题

别再“修一个、关工单”。近 40% 的端点风险是聚集的——找到一个认证缺陷时，正确反应是追问“它旁边还藏着什么”。重点清理被遗忘的遗留或影子端点。

4｜用持续 API 安全姿态替代一次性扫描

保持已知修法（强算法、迁向 OAuth2/mTLS、缩短寿命），并用能理解实现细节的运行时发现与风险检测覆盖全部端点，含低频与遗留 API。

发现一个认证问题时，别急着庆幸抓到了它——
先问：同一个端点上，还藏着第几个？

THALES IMPERVA 对应解决方案

Imperva API Security

持续发现全部 API（含遗留、低频、影子端点），基于真实流量识别 JWT 内容、弱算法、超长寿命、Basic 认证与令牌过期等风险，并按端点聚合多种认证问题，避免“修一个漏一片”。

2026 令牌与认证风险报告

完整报告含五类风险逐年拆解、每项变化背后的原因，以及安全与工程团队应优先投入何处的具体建议，可联系 Thales 团队获取本组织的基准对比评估。

内容编译自 Imperva 官方博客及《2026 Token & Authentication Risk Report》（2026-08-13，作者 Rohit Kumar、Amrita Talapatra）。数据基于 1,104 个客户环境、32,725 个在线 API 端点的真实检测（非问卷），为五类风险占当年真实检测的比例；报告亦说明同比变化可能受实践改变、检测能力提升及样本组织变化等因素影响。产品名称经 Imperva API Security 官方报告页与数据页核实。

您可以与我们各区域的销售团队联系，以获取更多支持。
我们将竭诚为您提供帮助，期待为您解答任何疑问。