我有点好奇，当 REST API 只允许处理 https 请求时，是否有一些标准方法如何处理 http 请求。我发现合作伙伴在生产中有时通过 http 调用我们的 API，并通过 http 提供敏感信息（JWT、一些 ID 甚至密码）（请不要问我为什么）。该请求当然被拒绝（HSTS 并重定向到 https），但已经通过公共互联网，其中包含所有敏感数据）。
记录这样的每个请求并寻找 JWT 模式或 uuid 并与现有 id 和数据库匹配是否会更好，这是如何防止合作伙伴凭据泄露并引发紧急警报的更好方法？但这种方式可能会带来一些漏洞，即 api 很容易因请求过多而过载。
您有什么方法来防止此类安全漏洞？或者您是否解决了此类案件？还是让合作伙伴承担责任（但如何证明问题出在合作伙伴一方）？
我很抱歉，这是否是一个比技术问题更哲学的问题。我非常感谢您的意见。
我认为对此没有具体的公认标准。许多与安全相关的库拒绝在不安全的上下文中工作，因此我认为通常如果有人手动滚动客户端然后将机密发送到错误的位置，我认为您不会经常看到标记这些请求。
您可以做的一件事就是拒绝 HTTP 端口上的请求。如果无法建立 TCP 连接，客户端将不会开始发送数据。这比重定向安全得多。
如果您确实通过不安全的通道收到了秘密，我绝对认为自动阻止该令牌将来使用是一个很好的功能。我不认为这是一个“预期的”功能，但它正在加倍努力。 如果用户认为您泄露了秘密，Github 会警告用户。但如果你知道你有一个秘密，我认为阻止这个秘密是明智的，并且也可以作为对开发人员的警告，让他们把他们的狗屎整合在一起。