Как HTTP-методы соответствуют CRUD, и что означают safe и idempotent?

Примеры

PUT /users/42 отправляет всё представление и заменяет его; PATCH /users/42 отправляет только изменяемые поля (например, { "email": "[email protected]" }).

Safe vs idempotent

Это два разных свойства:

• Safe — метод не изменяет состояние сервера (только чтение). GET, HEAD, OPTIONS безопасны.
• Idempotent — отправка одного и того же запроса N раз даёт тот же эффект, что и одна отправка. GET, PUT, DELETE, HEAD идемпотентны.

Почему это важно

Интервьюеры спрашивают это, чтобы понять, достаточно ли хорошо вы понимаете семантику HTTP, чтобы строить надёжные API. Различие safe/idempotent не академическое: оно напрямую определяет, что разрешено делать клиентам, прокси и CDN. Safe-методы можно свободно кэшировать и предзагружать; idempotent-методы можно автоматически повторять после сетевого таймаута без риска дублирования побочных эффектов — поэтому клиент может безопасно повторить PUT или DELETE, но должен быть осторожен с повтором POST (он может создать два заказа). Классическая ошибка — использовать GET для запуска побочных эффектов (например, GET /users/42/delete), что ломает кэширование и позволяет краулерам случайно менять данные. Выбор правильного метода — и соблюдение его контракта safety и idempotency — это то, что делает API предсказуемым и безопасным для построения вокруг него инструментов.