🔐 Безопасность API

Короткий ответ Статический API-ключ прост, но сложно ротируется и не несёт встроенного срока жизни; OAuth2 client credentials даёт короткоживущие токены с возможностью централизованной ротации и отзыва через сервер авторизации; подписанный JWT, выпущенный доверенной стороной, подходит, когда нужна самодостаточная проверка без обращения к центральному серверу при каждом запросе — выбор зависит от требований к ротации, отзыву доступа и инфраструктурной сложности, которую команда готова поддерживать. Как это работает подробнее статический ключ сравнивается напрямую на сервере (обычно хранится как хэш); OAuth2 client credentials flow требует отдельного запроса за access-токеном к серверу авторизации перед обращением к ресурсному серверу, токен имеет TTL и подлежит обновлению; JWT содержит подписанные claims (кем выпущен, для кого, срок действия), которые ресурсный сервер может проверить локально по публичному ключу без похода к серверу авторизации на каждый запрос. Пример кода Что использовать на практике Рекомен

Читать полностьюapi-key

Короткий ответ Токен передают в заголовке Authorization: Bearer <token>; передача в query-параметре рискованна, так как URL часто логируется серверами, прокси и попадает в историю браузера, в отличие от заголовков. Как это работает подробнее HTTP-заголовки, в отличие от URL, как правило не попадают в access-логи веб-серверов и кэши промежуточных прокси по умолчанию (хотя сами заголовки тоже могут логироваться, если это явно настроено); сервер при каждом запросе читает заголовок Authorization и проверяет/декодирует токен (например, JWT) перед обработкой бизнес-логики. Пример кода Что использовать на практике Рекомендация. в Python такие проверки обычно реализуют через middleware или dependency (в FastAPI — Depends), чтобы не дублировать код проверки токена в каждом эндпоинте. Токен стоит передавать только по HTTPS, иначе заголовок можно перехватить в открытом виде. Подводные камни Риски. передавать токен в query-параметре "для простоты тестирования" и забывать убрать это в production-коде; хранить токен в лога

Читать полностьюapi-security

Короткий ответ Отправитель подписывает тело запроса общим секретом через HMAC и передаёт подпись в заголовке; приёмник независимо вычисляет HMAC от полученного тела с тем же секретом и сравнивает подписи константным по времени способом, отклоняя запрос при несовпадении. Как это работает подробнее HMAC (например, HMAC-SHA256) строится так, что вычислить корректную подпись без знания секрета вычислительно нецелесообразно; сравнение подписей нужно делать функцией, устойчивой к атакам по времени ответа (hmac.compare_digest в Python), а не обычным ==, который может завершаться раньше при первом несовпадающем байте. Пример кода Что использовать на практике Рекомендация. подпись обычно считается от сырого байтового тела запроса "как получено", а не от повторно сериализованного JSON — если фреймворк уже распарсил тело в объект и вы заново сериализуете его перед проверкой подписи, различия в форматировании (порядок ключей, пробелы) сломают проверку. Поэтому подпись нужно проверять до или независимо от парсинга JSON, н

Читать полностьюhmac

Короткий ответ Чисто stateless JWT (проверяемый только по подписи, без обращения к хранилищу) плохо совместим с требованием немедленного отзыва, так как токен остаётся валидным до истечения exp, независимо от действий на сервере; session-based подход или JWT с централизованной проверкой отзыва (blacklist/короткий TTL с refresh) решает эту проблему за счёт частичного отказа от stateless-преимуществ — выбор зависит от того, насколько критично немедленное отключение доступа против стоимости дополнительного состояния и задержки от централизованной проверки. Как это работает подробнее stateless JWT проверяется локально ресурсным сервером по подписи без сетевого вызова — это даёт низкую латентность и горизонтальную масштабируемость без общего хранилища сессий, но означает, что отозвать конкретный токен до истечения срока действия невозможно без дополнительного механизма (например, списка отозванных токенов, который сам по себе требует централизованного, проверяемого на каждый запрос хранилища — что сводит на нет чи

Читать полностьюauthentication