AE
Size: a a a
2021 November 17
AE
О безопасности думать надо со стороны бека, что я сделаю если все же запрос придёт вручную
LY
ну вот я не хочу чтобы пользователи например могли вручную получить например 100к возвращаемых постов по адресу site.loc/api/sms, при этом допустим их надо получить со стороны фронта
LY
я вот рыл-рыл, и как бы инфа только по токенам, да
SC
Проектируй апи таким образом, что бы пользователь мог выполнять только нужные действия
SC
Тут помог бы троттлинг, к примеру
LY
но не совсем понимаю, как вот в таком случае это обезопасит, мол делать ограничение на кол-во запросов
SC
Задай конкретный вопрос, обезопасить это слишком абстрактно.
AE
Ну почему нельзя с бека отдавать только 10
AE
А не 100к
LY
ну чтобы пользователь не смог открыть страницу по адресу site.loc/api/posts, которая возвращает например 100к постов, и делать это постоянно, тем самым грузив сервер
LY
ну это не решение вопроса, я думаю
SC
Пусть не возвращает 100к постов.
LY
при этом с фронта, из js, должна быть возможность загрузить такие данные
AE
Так не получиться)
SC
Такие это какие? На фронте нужна возможность отрисовать 100к «смс»?
LY
пока что вот троттлинг кажется нормальным вариантом
SC
Ну, для кулдауна да. Ты примерно понимаешь как работает пользователь и можешь ограничить количество запросов в минуту. Но если пользователь выйдет за лимит на фронте, ему это не понравится
LY
потенциально, да
окей, а если мне нужно выполнять такие запросы, будучи авторизованным с правами администратора и только, здесь нужны токены как я понимаю?
окей, а если мне нужно выполнять такие запросы, будучи авторизованным с правами администратора и только, здесь нужны токены как я понимаю?
AE
Нет здесь нужно проверки юзера