约翰·米奇

2023年12月20日 — 阅读时间5分钟

在过去的十年里，区块链技术和Web3取得了巨大的创新与发展。然而，我们仍然需要在Web2模式下开展工作，并使用为Web2构建的技术。这带来了一些棘手的问题，尤其是安全方面的问题。

Web3 应用程序在浏览器中运行代码，而这些代码是公开的。这使得代码中使用的区块链端点很容易遭到利用。Quicknode Endpoint 可让您endpoint进行速率限制并缩小其攻击面，根据您的应用程序进行定制，从而提高安全性，降低其对恶意用户的吸引力。

Web 2.0 模式

通常在 Web 2.0 中，用户拥有个人权限。这意味着用户只能访问或修改自己的数据。例如，如果你登录 Instagram，就无法以他人身份发布照片，只能以自己的身份发布。

这意味着，浏览器上暴露的代码和网络调用通常只会让你作为用户执行在网站上本可执行的操作。访问该网站的恶意攻击者不会看到任何允许其执行操作的代码或网络调用，因为他们尚未登录。已登录的用户只会看到允许其执行被授权操作的代码和网络调用。

这种架构——我们在网络上已经使用了数十年——使得除非你知道某人的密码或凭据，否则很难进行任何恶意操作。

Web3 模型

在 Web3 中，情况有所不同。这里通常没有传统的 Web2 用户，而服务器往往就是区块链本身。用户可以访问一个 Web3 网站并在区块链上执行操作，通常是通过前端代码直接调用区块链本身。

这会带来一个问题：如果没有用户和权限的概念，任何人都可以获取该endpoint 并利用你的endpoint向区块链发起调用。

当前的解决方案

目前，Web3 开发者已提出一些解决方案来防止这种情况发生。其中一种方法是将endpoint 代理服务器endpoint 该代理服务器通常是一个封装区块链调用的后端服务器。由于后端代码不会在浏览器中暴露，因此可以安全地endpoint 并设置身份验证机制。然而，由于缺乏传统意义上的“具有权限的用户”这一概念，后端代理服务器仍可能面临被滥用的风险。此外，这种方案的配置工作量相当大。

此外，还有一些用于防范垃圾信息和滥用的第三方服务，这些服务通常与endpoint 配合使用。此类服务成本较高，有时会限制合法用户的使用，且并未针对区块链应用进行专门优化。

目前已有一些基本设置可用于防范滥用行为Quicknode JWT 授权，并且endpoint的安全设置中配置来源地址、IP 地址以及智能合约白名单。这些措施非常有效，尤其是在结合使用并通过自定义后端或第三方服务进行代理时。然而，如果endpoint 在前端代码中暴露出来，恶意攻击者仍有可能通过伪造请求数据来模拟这些调用。

进入Endpoint

Endpoint 作为Quicknode 的一个附加组件，其设计理念是将您对外公开endpoint 也视为……公开的。endpoint 和网络调用将在浏览器中暴露，因此我们应endpoint ，并根据您具体应用程序的需求进行定制。

此限制是通过结合以下方法实现的。系统会为您提供一个安全的 URL，您可以在应用程序中使用该 URL。该 URL 的访问权限将根据您的具体配置进行限制。

有关更多详细信息和配置示例，请参阅《 Endpoint Endpoint 保护您的Endpoint 》指南。

全局速率限制

Endpoint 允许您endpoint 秒、分钟和/或小时为单位endpoint 设置速率限制。这将限制恶意用户endpoint 查询次数endpoint 允许正常使用。

访客速率限制

Endpoint 允许您针对网站的每位独立访客设置速率限制。这意味着访问您网站的每位独立访客都将拥有各自的速率限制。这种方法具有良好的可扩展性，因为即使访客数量增加，每位用户也将以相同的方式受到速率限制。

方法：白名单机制

Endpoint 要求您指定endpoint允许使用的 RPC 方法。这种做法能大幅缩小恶意用户可利用的攻击面。通常，web3 网站只会使用少数几个 RPC 方法。若将其余方法暴露在外，就会给恶意用户留下大量可利用的漏洞。

方法速率限制

还可以为单个方法设置速率限制，从而根据应用程序的需求进行非常精细的限制。

方法特有的限制

通常，应用程序只需与特定的智能合约或区块链中的最新区块进行交互。Endpoint 允许您针对某些方法限制这些参数。例如，在兼容 EVM 的链上，您可以设置 eth_getLogs 只能查询最新区块中的某个范围。这进一步限制了恶意行为者可利用的范围。

结论

Endpoint 允许您设置一套既强大又可根据需求灵活调整的配置。通过配置，您可以缩endpoint 的可被利用攻击endpoint 设置速率限制，从而让您的Quicknode endpoint 在前端代码中endpoint 更安全endpoint 。

Endpoint 已在 Quicknode 上线，作为所有基于 RPC 的区块链的附加组件。有关完整概述，请参阅指南和文档。

有了Endpoint ，您就能高枕无忧！