Kazi iliyoratibiwa au kuingia kwa mtu: API inapaswa kuona utambulisho upi?

Kazi iliyoratibiwa na mtu aliyesimama kwenye kidokezo cha kuingia wanaita API moja kwa vitambulisho tofauti, maisha tofauti na wamiliki tofauti. Kazi inahitaji njia ya mtandao, utambulisho wa programu na seti ya ruhusa; mtu anahitaji kuingia, kipengele cha pili na kipindi. Kuchanganya vyote viwili huzalisha uendeshaji wa kiotomatiki unaovunjika kila neno la siri la mtu linapobadilika, au sera ya vipengele vingi iliyodhoofishwa kiasi cha kutosha ili kazi ya cron ibaki hai.

Malango matatu yanayofanana kama moja

Kanuni ya anwani ya chanzo huuliza ombi limetoka wapi. Uthibitishaji huuliza nani anapiga simu na ni ushahidi gani uliowasilishwa. Uidhinishaji huuliza kama mhusika huyu anaweza kufanya operesheni hii. VPN hubadilisha ya kwanza tu kati ya tatu, na huibadilisha kwa kila mchakato kwenye mwenyeji na si kwa kazi pekee, kwa hiyo tenga uchunguzi watatu kwenye rekodi ya tukio.

Ndiyo sababu kubadilisha nodi ya kutoka kunaweza kurekebisha kukataliwa kwa sababu ya anwani ya chanzo na kuacha token isiyo sahihi bila kuguswa. Ndiyo sababu pia token halali ya API haifanyi kiini cha mwisho cha faragha kufikiwa kutoka kwa kazi isiyo na njia ya kufika hapo.

Njia ya maingiliano ni kiolezo kibaya cha uendeshaji wa kiotomatiki

Kuandika kuingia kwa mtu kama skripti kunavutia kwa sababu hufanya kazi mara moja. Skripti huhifadhi neno la siri, labda mbegu ya neno la siri la mara moja, kisha hutegemea changamoto iliyoundwa kuhitaji mtu. Mazoea bora ya usalama ya OAuth ya sasa, RFC 9700, yanakataza ruzuku ya resource-owner-password-credentials na kueleza kwa nini hailingani vizuri na uthibitishaji wa vipengele viwili na wa hatua nyingi.

Mbadala unaoungwa mkono kwa kawaida ni mtiririko wa mteja wa siri ambapo seva ya uidhinishaji huthibitisha programu na kutoa token. Ruzuku ya client-credentials katika RFC 6749 sehemu ya 4.4 ni mfano mmoja. Kuwepo kwake hakumaanishi kuwa kila API inaikubali, au kwamba kazi iliyokaimishwa na mtumiaji inaweza kubadilishwa nayo, kwa sababu hayo ni maswali kwa mmiliki wa huduma. Uliza ni mfano gani usio na uangalizi ambao huduma inaunga mkono kabla ya kuandika msimbo.

Mahali VPN bado inafaa

VPN inaweza kutoa njia ya mtandao ambayo API ya faragha inahitaji, na hiyo ni jukumu halali. Haihakikishi kazi kwa programu, na haiweki mipaka ya kile kazi inaweza kufanya. Anwani ya kutoka inayoshirikiwa pia hutambua mwenyeji na si kazi, kwa hiyo ingizo la orodha ya kuruhusiwa kwa anwani hiyo hukubali kila mchakato unaoendesha juu yake.

Ikiwa kazi inaendesha kwenye kiondoa huduma kinachoshirikiwa, tofauti hiyo ni muhimu zaidi na si kidogo. Mtiririko mwingine wa kazi kwenye mwenyeji huyo huyo hurithi njia na anwani, na API haiwezi kutofautisha vyote viwili. Ni udhaifu uleule wa neno la siri linaloshirikiwa, umehamishwa tabaka moja chini. Weka kizuizi pale ambapo programu inaweza kulitekeleza, na tenganisha kiondoa huduma ikiwa huwezi kupunguza orodha ya kuruhusiwa.

Linganisha miundo miwili kwa uaminifu

Kuingia kwa mtu kunakupa mtu halisi, kipengele cha pili halisi na kipindi kinachoweza kukaguliwa, na hakuwezi kufanya kazi bila uangalizi. Utambulisho wa programu unakupa utekelezaji bila uangalizi, wigo unaoweza kupitiwa na kitambulisho unachoweza kuzungusha, na hauwezi kufanya kazi kwa niaba ya mtumiaji ambaye hakukaimisha chochote. Hakuna kinachokuwa toleo dhaifu la kingine; hujibu maswali tofauti. Chagua kwa kuuliza ikiwa kazi lazima iendeshwe bila mtu yeyote, na ikiwa operesheni lazima ihusishwe na mtumiaji mahususi.

Ikiwa majibu yote mawili ni ndiyo, muundo unahitaji mfano wa ukaimishaji na si neno la siri lililokopwa. Andika uamuzi huo mahali ambapo mtunzaji anayefuata atapata.

Nini cha kuthibitisha kabla ya kuwasilisha

Endesha operesheni moja inayoruhusiwa na kukataa moja kunakohitajika kutoka kwa mfanyakazi halisi, na uhifadhi matokeo yote mawili. Kisha jaribu kitambulisho kilichoisha muda na tabia wakati njia ya mtandao haipatikani, kwa sababu hizo ni hitilafu mbili zinazomwamsha mtu usiku.

curl -sS -o /dev/null -w '%{http_code}\n' \
  -H "Authorization: Bearer TOKEN" https://api.example.com/v1/records

Andika mhusika, wigo, mmiliki wa mzunguko na mazingira ya utekelezaji kando ya matokeo hayo. Rekodi hiyo ndiyo inayofanya mzunguko unaofuata kuwa kawaida na si tukio. Pia ni sehemu ambayo mkaguzi anaiomba.