API数据传输面临的安全威胁
API数据在传输过程中面临三大威胁：窃听（攻击者截获网络流量，读取API请求和响应中的敏感数据）、篡改（攻击者修改传输中的数据，如修改转账金额）、重放（攻击者捕获合法请求后重复发送）。加密传输是防范这些威胁的核心手段。
第一道防线：HTTPS/TLS传输层加密
HTTPS是API数据传输的最低安全基线——任何API在任何环境下都必须使用HTTPS，不允许HTTP明文传输。TLS 1.2是最低版本要求，推荐TLS 1.3。禁用不安全的加密套件（如RC4、3DES）。启用HSTS头强制浏览器始终使用HTTPS。
应用层加密：何时需要超越HTTPS
HTTPS加密的是传输通道，但在以下场景需要额外的应用层加密：数据经过反向代理/负载均衡后解密（内网传输仍可能被监听）、合规要求（金融/政务等要求端到端加密）、敏感字段加密（即使服务端日志也不应暴露明文密码/身份证号）。
AES对称加密方案
AES（Advanced Encryption Standard）是最常用的对称加密算法。加密和解密使用同一密钥，速度快，适合大量数据的加密。推荐使用AES-256-GCM模式（同时提供加密和完整性校验）。密钥管理是关键——不能硬编码在代码中，应使用密钥管理服务（KMS）或环境变量。
RSA非对称加密方案
RSA使用公钥加密、私钥解密，解决了对称加密中密钥分发的难题。适合加密小量数据（如AES密钥的传输）。典型场景：客户端使用服务端公钥加密AES密钥发送给服务端，后续通信使用AES加密（这就是HTTPS的工作原理）。
国密SM2/SM4加密方案
对于信创/政务/金融等有国产密码要求的场景，必须使用国密算法：SM2（非对称加密，对应RSA/ECC）、SM4（对称加密，对应AES）、SM3（哈希算法，对应SHA-256）。YesApi Pro已通过信创适配验证，支持国密算法加密传输。
企业级API加密最佳实践
最小敏感数据原则——只传输必要的数据，敏感字段优先脱敏而非加密；分层加密——传输层（HTTPS）+ 应用层（AES/RSA）双重保护；密钥轮换——定期轮换加密密钥（建议90天），泄露后立即吊销；审计日志——记录所有加解密操作，便于安全审计和追溯。