19、API 与视频流网站开发全解析

API 与视频流网站开发全解析

1. API 应用开发与安全

在 API 开发中，SQL 注入是一个需要重点关注的安全问题。SQL 注入是一种代码注入技术，攻击者会将恶意 SQL 语句插入到输入字段中执行，从而攻击数据驱动的应用程序。在 Rails 里，很多时候参数会以 params[:title] 的格式直接从查询字符串传递到活动记录查询接口，这使得 SQL 语句容易受到攻击，因为有人可以传递包含 SQL 语句（如 OR 或 AND）的字符串并执行其中的 SQL。

为了避免这种情况，我们可以采用以下方法：
- 先将 SQL 语句传递给一个变量，然后对变量进行清理，再将其传递给查询，示例代码如下：

Note.where("title=?", title)

• 也可以在将变量传递给查询之前，通过 sanitize_sql() 方法处理。

此外，在实际应用中，强烈建议使用 SSL 证书，以确保对服务器的安全访问，特别是对于涉及传递应用程序的 application_id 和 application_secret 的交易。

我们成功创建了一个带有 OAuth2 提供者的仅 API 应用程序，并考虑了该项目的各种安全方面：
- 使用 Rails API 宝石创建不包含 Rack 中间件模块和前端模块的仅 API 应用程序。
- 使一些方法适应 Rails 4，例如强参数。