ความปลอดภัย (Security)

ความปลอดภัยไม่ใช่ฟีเจอร์ที่คุณติดเพิ่มเข้าไปทีหลัง แต่เป็นชุดของเรื่องที่ต้องคำนึงถึงในทุก endpoint โมดูลนี้ครอบคลุมเรื่องที่ API ทุกตัวต้องจัดการ

พื้นผิวด้านความปลอดภัย

flowchart TD
  API --> T[Transport: HTTPS everywhere]
  API --> AuthN[Authentication: who are you?]
  API --> AuthZ[Authorization: what may you do?]
  API --> In[Input: validate everything]
  API --> Ab[Abuse: rate limiting & quotas]

ห้าเรื่องที่ครอบคลุมทั้ง API

• Transport — ให้บริการผ่าน HTTPS เท่านั้น อย่ารับ credentials ผ่าน HTTP แบบ plain เด็ดขาด
• Authentication — ระบุว่าผู้เรียกใช้คือใคร (API key, token)
• Authorization — ตัดสินว่าผู้เรียกใช้คนนั้นทำอะไรได้บ้าง
• Input — มองทุกไบต์ที่มาจาก client ว่าเชื่อถือไม่ได้ ต้อง validate ทุกครั้ง
• Abuse — ปกป้อง API จากการถูกถล่มจนล้นหรือถูก scrape ข้อมูล

โมดูลนี้ครอบคลุมอะไรบ้าง

• Authn vs authz — ความแตกต่าง และ 401 กับ 403
• Tokens, JWT & OAuth — bearer token และการมอบสิทธิ์การเข้าถึง (delegated access)
• CORS — browser ควบคุมการเรียกข้าม origin อย่างไร
• Rate limiting & validation — การจำกัดอัตราการเรียก และการไม่เชื่ออะไรเลย

🌐 อย่าใส่ความลับไว้ใน URL เด็ดขาด

API key, token และ password ต้องไม่โผล่ใน path หรือ query string เด็ดขาด เพราะทั้ง server, proxy และประวัติของ browser ต่างเก็บ URL ไว้ใน log อีกทั้งยังรั่วออกไปทาง header Referer ได้ ที่ของ credentials คือ header Authorization (หรือ secure cookie) และทุกอย่างต้องวิ่งผ่าน HTTPS

ทำไม credentials ถึงต้องไม่อยู่ใน URL เด็ดขาด?

URL สั้นเกินไป URL ถูกบันทึก log และรั่วไหลผ่านประวัติและ header Referer query string เก็บข้อความไม่ได้ ทำให้ caching พัง

ควรปฏิบัติต่อ input จาก client อย่างไร?

เชื่อถือได้เมื่อผ่าน authenticated แล้ว ถือว่าเชื่อถือไม่ได้ และ validate ในทุก request validate เฉพาะตอน development เท่านั้น validate ที่ฝั่ง client เท่านั้น

Submit

Mark as complete