Security 如果IP地址不是“白色”，则IP地址白名单是否有用；秘密；？

我正在开发一个可以访问用户提供的API密钥的应用程序。应用程序代表我们的用户进行API调用

我们使用的API允许用户将可以使用其API密钥的IP地址列为白名单。我在考虑告诉我们的用户将应用程序的IP地址列入白名单，以便增加进一步的安全性，这样只允许来自我们IP地址的请求

但我已经读到，欺骗IP地址是相当容易的，考虑到我将告诉我们的用户哪些IP地址要列入白名单（这意味着，一个不好的参与者不必花费太多精力来查看哪些IP地址是有效的），我想知道这是否值得付出努力

如果恶意参与者以某种方式获得用户API密钥，IP地址白名单真的会增加任何有意义的安全层吗？或者这对坏演员来说只是一个小小的不便

---

谢谢

向某人发送带有假源地址的数据包很容易，但要获得返回给您的响应要困难得多。换句话说，如果API要求在源和目标之间建立连接，那么通过源IP限制访问是非常有效的。在TCP之上运行的所有东西都需要这样的连接。如果您的API使用UDP（不太可能），并且没有验证请求源的机制，那么它不会有多大帮助

另外，你可能想在这里问同样的问题-