Рекомендации по проектированию безопасности API для внутренних и облачных систем

[GerrAlt]

А чем заголовок Accept плох? Зачем в параметры url записывать предпочитаемый формат ответа?

[ykopylovski]

Параметры url предлагается использовать только для вызова документации API по аналогии со стандартным вызовом ?wsdl для веб сервисов. Заголовок Accept можно использовать также как и Content-Type в зависимости от формата запроса, так что он ничем не плох.

[niyaho8778]

Интересно бы послушать как работает безопасность(проверка на куплена ли статьи или куплен весь автор) на супер хайлоудох , например онлифанс. Интересно неужно они на каждый запрос лезут в билинг для проверки , это млрды запросов в секунду.... неясно в общем как у них это сделано

[ykopylovski]

Подобная фунция не относится к основному стеку безопасности API, это уже фунция бизнес сервиса. Для достижения очень высоких скоростей используются системы с распределенной кэш памятью с кольцевым буфером (distributed in-memory cache).

[AlexVWill]

не думаю, что прям каждый-каждей, вполне вероятно есть что-то вроде короткоживущего токена, валидация которого почти не требует ресурсов, и проводится мгновенно, а срок жизни его - ну например 10 минут и раз в 10 минут проходти валидация, если она не прошла - сервер обрывает сессию...