Conas a dhaingníonn tú API REST (fíordheimhniú, údarú, iompar)?

Question

IT Interview Practice · Accepted Answer

Ciallaíonn API REST a dhaingniú trí cheist a fhreagairt ar gach iarratas: **cé tusa** (authentication), **cad a bhfuil cead agat a dhéanamh** (authorization), agus **an bhfuil an cainéal príobháideach** (transport). Toisc go bhfuil REST **stateless**, ní mór do dhintiúir taisteal le gach iarratas seachas maireachtáil i seisiún server.

## Iompar: HTTPS i gcónaí

Glacann gach rud thíos le **TLS/HTTPS**. Gan é, taistealaíonn tokens agus API keys i ngnáththéacs agus is féidir iad a bholadh. Níl sé seo idirbheartaithe — is token sceite é bearer token thar HTTP.

## Roghanna fíordheimhnithe

**API keys** — rún statach i header. Simplí; go maith do server-to-server agus chun *feidhmchlár* a aithint, ní úsáideoir. Lag leo féin (gan éag, gan scope) mura ndéantar iad a phéireáil le tuilleadh.
```http
GET /data HTTP/1.1
Authorization: Bearer sk_live_a1b2c3...
```

**OAuth 2.0** — an caighdeán do rochtain **tarmligthe** ("lig do App X mo shonraí a léamh gan mo phasfhocal"). Faigheann an app **access token** trí flow (m.sh. Authorization Code) agus seolann sé mar bhearer token é. Is mar seo a oibríonn "Sign in with Google" agus comhtháthuithe tríú páirtí.

**JWT (JSON Web Token)** — *formáid* choitianta do tokens: token sínithe féinchuimsitheach a iompraíonn claims (user id, roles, éag). Fíoraíonn an server an síniú — gan cuardach bunachair sonraí de dhíth, rud a oireann do REST stateless.
```text
header.payload.signature   (base64url)
payload: { "sub": "42", "scope": "orders:read", "exp": 1737800000 }
```

## Údarú: scopes agus roles

Cruthaíonn authentication céannacht; cinneann **authorization** rochtain. Iompraíonn tokens **scopes** (`orders:read`, `orders:write`) nó roles; seiceálann an server iad in aghaidh an endpoint agus filleann sé `403 Forbidden` nuair nach leor iad (vs `401` do auth atá ar iarraidh/neamhbhailí).

```text
No/invalid token         → 401 Unauthorized
Valid token, no scope    → 403 Forbidden
```

## Rudaí riachtanacha eile

```text
✓ Short-lived access tokens + refresh tokens (limit blast radius if leaked)
✓ Rate limiting (429) to blunt brute-force and abuse
✓ Validate/sanitize all input; never trust the client
✓ Principle of least privilege on scopes
```

## Cén fáth a bhfuil sé tábhachtach

Is í an tslándáil an áit a n-éiríonn botún beag ina shárú, mar sin úsáideann agallóirí é seo chun a fheiceáil an réasúnaíonn tú faoi go struchtúrtha seachas buzzwords a aithris. Is é an comhartha a lorgaíonn siad ná go **scarann tú na trí shraith** — transport (HTTPS, i gcónaí), authentication (ag cruthú céannachta, gan staid, trí bearer tokens/JWT/OAuth), agus authorization (scopes agus an phribhléid is lú) — agus nach gcuireann tú le chéile iad, m.sh. ag úsáid `401` i gceart do "gan fíordheimhniú" i gcomparáid le `403` do "fíordheimhnithe ach gan cead." Léiríonn freagraí láidre feasacht ar na comhbhabhtálacha praiticiúla: tá JWTanna áisiúil agus stateless ach deacair a chúlghairm sula n-éagann siad (dá bharr sin saolréanna gearra móide refresh tokens), aithníonn API keys apps ní úsáideoirí, agus tá OAuth ann go sonrach ionas nach dtugann úsáideoirí a bpasfhocal do thríú páirtithe. Léiríonn é a cheangal le statelessness REST — dintiúir ar gach iarratas, gan seisiún server — go dtuigeann tú *cén fáth* a bhfuil cuma mar atá ar shlándáil API.

Iompar: HTTPS i gcónaí

Roghanna fíordheimhnithe

Údarú: scopes agus roles

Rudaí riachtanacha eile

Cén fáth a bhfuil sé tábhachtach

Ceisteanna gaolmhara