الأمان

نظرة سريعة#

يجيب التعريف عن سؤال واحد لكل عملية: من يحق له استدعاؤها. الجواب متطلب أمان، على العملية أو مرة واحدة للمستند كله. والعملية التي يحق لأي أحد استدعاؤها تقول ذلك صراحة.

بيانات الاعتماد في تعريف المزوّد#

يرسل الاستدعاء إلى منتج مفتاح التطبيق في ترويسة api360key، أو HTTP Basic للتطبيق المضبوط عليه. أعلنه كمخطط ترويسة:

security:
  - api_key: []
components:
  securitySchemes:
    api_key:
      type: apiKey
      in: header
      name: api360key

تستخدم واجهات نطاقات المنصة نفسها رمز bearer، يُعلَن كمخطط http بقيمة scheme: bearer.

العمليات العامة#

فحص الصحة أو تنزيل ملف يحق لأي أحد استدعاؤه يصرّح بذلك:

/health:
  get:
    operationId: health
    security: []
    x-api360-public: true

بدون العلامة تبدو قائمة security الفارغة سهواً فيُبلَّغ عنها.

أبقِ الأسرار خارج العناوين#

يُكتب العنوان في سجلات الوصول وتاريخ المتصفح وترويسات Referer. يُبلَّغ عن معامل استعلام اسمه api_key أو access_token أو token أو secret أو password أو شبهها، وعن مخطط أمان من نوع apiKey موضعه سلسلة الاستعلام. تُقارَن أسماء المعاملات دون اعتبار حالة الأحرف أو الفواصل، فيُكتشف Access-Token وaccessToken أيضاً.

تتحقق منه#

انظر أيضاً#

• المصادقة: ما يرسله المستهلك إلى المنتج.
• فحص تعريف الواجهة: شغّل القواعد على ملفك.