一、认识restful api
restful api是一种遵循rest原则、基于http/https协议的web api。它通过http verbs（get、post等）和uri（uniform resource identifier）来定义资源的状态和操作行为，数据传输格式一般为json或xml。
如下是一个简单的示例：
get /api/users/1
这个请求将会返回id为1的用户信息。其中，get是http verbs，/api/users/1是uri，1是资源id。
二、保护restful api
restful api在企业应用开发中越来越流行，但同时也需要考虑数据的安全。以下是一些保护restful api的常用方法：
1.使用https协议
http是明文传输，容易被攻击者截取数据或篡改数据。而https采用ssl（secure socket layer）协议，对传输的数据进行加密，有效保护了数据的可靠性和安全性。
可以使用spring security或者jersey的ssl support来保护restful api。同时，使用双向认证也可以加强验证机制。
2.认证和授权
身份认证是确定api用户身份的一种方式。通常使用用户名和密码进行认证，也可以使用oauth、openid connect等认证协议。
授权是保护api资源的一种方式。可以使用基于角色或基于资源的访问控制来授权，限制对资源的访问权限。
spring security提供了，许多现成的安全性实现。在保护restful api时，使用spring security可以轻松实现身份验证和访问控制功能。
3.输入格式校验
输入格式校验是确保接收到请求的数据符合预期，避免注入攻击的一种方式。可以使用hibernate validator或jsr 303 bean validation来验证输入的格式，校验数据的类型、格式和长度等信息。
4.防止sql注入攻击
常规sql查询可能会受到sql注入攻击的威胁。所以，在进行数据查询时，需要对用户输入数据进行过滤和转义。可以使用spring jdbc或jpa来处理sql语句，自动转义查询参数。
5.防止跨站点脚本攻击（xss）
xss是一种常见的网络攻击，攻击者主要通过注入恶意的客户端代码来劫持前端页面。在restful api的设计和开发过程中，遵循安全最佳实践，如禁止使用明文输入，避免直接使用非法输入等，都可以有效地减少xss攻击发生的可能性。
6.防止跨站点请求伪造攻击（csrf）
csrf攻击通常利用用户对访问特定域名的信任来伪造请求，实现攻击者的目的。为了防止csrf攻击，可以使用csrf token或者double submit cookie这两种方式。其中，csrf token是服务器生成的随机字符串，当发送post请求时，将csrf token一起提交。double submit cookie是将csrf token存储在cookie中，然后在发送请求时，将提交的csrf token与存储在cookie中的csrf token进行比对。
三、总结
restful api在web应用程序中扮演着越来越重要的角色。越来越多的应用程序已经开始使用restful api进行数据交互。但是，随着数据的增长和使用规模的扩大，信息安全的保护问题也变得越来越重要。在本文中，我们已经介绍了几种最常见的保护restful api的技术，建议在restful api的设计和开发中遵循安全最佳实践来保障数据的安全。
以上就是java后端开发：构建安全的restful api的详细内容。