Redigerer Sikring av vev-API (avsnitt)

=== Attributtbasert tilgangskontroll ===
Med denne tilnærmingen er det et håndhevelsen av retninglinjer (''policy'') enten innenfor selve API-et, i API-rammeverket (som en avskjæringsanordning eller meldingsbehandler) eller som en API-portner (''gateway'') som for eksempel WSO2, Kong eller lignende, som fanger opp kallet til API-et og/eller svaret tilbake fra API-et. Den konverteres så til en autorisasjonsforespørsel (vanligvis i XACML) som sendes til et policybeslutningspunkt (''Policy Decision Point'', PDP), for eksempel AuthZForce eller Axiomatics. Policybeslutningspunktet er konfigurert med policyer som implementerer dynamisk tilgangskontroll som kan bruke et hvilket som helst antall bruker-, ressurs-, operasjon- og kontekst-attributter for å definere hvilken tilgang som tillates eller ikke. Policyen kan handle om:

# Ressursen (for eksempel en bankkonto)
# Brukeren (for eksempel en kunde)
# Kontekst (for eksempel tid på dagen)
# En relasjon (for eksempel kunden som kontoen tilhører).

Retningslinjene blir ofte uttrykt med pseudokodespråk for tilgangskontroll som eXtensible Access Control Markup Language (XACML) eller Abbreviated Language For Authorization (ALFA).