就 API 交互类似场景来说，有没有相关法律法规有规定安全规范啥的（纯好奇）

[dzdh]

比如接口必须 https 必须使用签名的方式啥的

产品有部分接口可能要对外提供，为了安全<del>省事</del>，计划使用商用 SSL 证书+自定义 CA&客户端证书。

双向验证然后根据 nginx 解析后的 serial 、dn 直接鉴权（吊销和可信都在自己库里存了 id+状态），不搞签名啥的

然后就想到之前搞微信支付接口的时候，他要双向证书+签名。

stripe 就很简单粗暴 curl -u key: 就行了

然后就好奇问一下，有没有什么公开资料或相关法律法规啥的有规定一些必须怎么做的。比如商户证书必须要通过 CFCA 下载啊，API 接口至少要保证有两种以上的安全策略啊啥的。 还是全凭自己公司自己做安全评估

[Zy143L]

法律法规？没有

[ErnieSauce]

部分行业规范里面会有针对外部接口的要求，例如：要对接入的系统具有唯一性标识和鉴别信息，鉴别信息要满足一定的复杂度，要能够记录气质，要有控制权限，要有完整性和保密性检验等等

[dzdh]

@ErnieSauce 比如有哪些公开资料 0.0 『气质』是啥？

[ErnieSauce]

@dzdh 日志 不好意思打错了 我这里没有公开资料