php - 在没有提供 API 密钥的情况下访问 Laravel 中的数据库有多安全？

Question

先决条件：

PHP：5，Laravel：5.1，MySQL：innodb 5.6.34。

问题：

我们构建了一个带有单个端点“测试”的 Web API。现在应该添加另一个端点（“健康”）——这个端点作为 API 的健康指标：当我们调用test.api.com/health? ，相应的控制器应该直接连接到数据库并向用户发送两个状态作为响应：API 状态和 DB 状态（数据在那里，DB 处于活动状态，一切都很好）。

问题：

在没有身份验证中间件的情况下制作这样的控制器有多安全？或者换句话说：在没有 api 密钥的情况下调用连接到数据库的端点有多安全？

请注意，该框架将来可能会更改 - 可能会更改为 Python 的 Flask 以及 DB - 到 PostgreSQL。因此，即使您没有 Laravel 或 MySQL 方面的专业知识，也不要犹豫，提供您的反馈。

Answer 1

你不应该有这个问题。您没有接受用户输入，因此如果您是这样想的，那么您就不容易出现任何 sql 漏洞。您可能希望将响应缓存几秒钟，以免影响数据库服务器。可选地，API 上的速率限制器可能是一个好主意。