19、移动应用后端API开发与视频流网站搭建全解析

移动应用后端API开发与视频流网站搭建全解析

1. API Only应用开发与安全防护

1.1 SQL注入问题及解决办法

SQL注入是一种针对数据驱动应用的代码注入技术，攻击者会将恶意SQL语句插入输入字段以执行。在Rails中，很多时候参数会以 params[:title] 的格式从查询字符串直接传递到活动记录查询接口，这使得SQL语句易受攻击。因为攻击者可以传递包含SQL语句（如OR或AND）的字符串来执行其中的SQL。

为解决此问题，可采用以下两种方法：
- 先将SQL语句传递给一个变量，然后对变量进行清理后再传递给查询，示例代码如下：

Note.where("title=?", title)

• 在将变量传递给查询之前，通过 sanitize_sql() 方法处理。

1.2 创建API Only应用及安全措施

成功创建了带有OAuth2提供者的API Only应用，并关注了项目的各种安全方面：
- 使用Rails API gem创建不包含rack中间件模块和前端模块的API Only应用。
- 适配部分方法到Rails 4，例如强参数。
- 使用JSON序列化器创建交互式的简洁JSON API，可通过JSON读取、写入和更新数据。
- 研究序列化器中的关联工作原理以及与常规模型的区别。
- 学习如何使用REST客户端读取和向API发送数据。
- 使用doork