API安全学习手册：Restful API

Restful API

REST是一种风格，而不是一种协议或者标准（RESTful）

REST以资源为核心，所有事物，如果有被引用的必要性，就是资源；资源既可以是实体，也可以是抽象概念

RESTful API由后台也就是SERVER来提供前端来调用。前端调用API向后台发起HTTP请求，后台响应请求将处理结果反馈给前端。也就是说RESTful 是典型的基于HTTP的协议。那么RESTful API有哪些设计原则和规范呢？

1、资源。首先是弄清楚资源的概念。资源就是网络上的一个实体，一段文本，一张图片或者一首歌曲。资源总是要通过一种载体来反应它的内容。文本可以用TXT，也可以用HTML或者XML、图片可以用JPG格式或者PNG格式，JSON是现在最常用的资源表现形式。

2、统一接口。RESTful风格的数据元操CRUD（create,read,update,delete）分别对应HTTP方法：GET用来获取资源，POST用来新建资源（也可以用于更新资源），PUT用来更新资源，DELETE用来删除资源，这样就统一了数据操作的接口。

3、URI。可以用一个URI（统一资源定位符）指向资源，即每个URI都对应一个特定的资源。要获取这个资源访问它的URI就可以，因此URI就成了每一个资源的地址或识别符。一般的，每个资源至少有一个URI与之对应，最典型的URI就是URL。

4、无状态。所谓无状态即所有的资源都可以URI定位，而且这个定位与其他资源无关，也不会因为其他资源的变化而变化。

有状态和无状态的区别，举个例子说明一下，例如要查询员工工资的步骤为：

第一步：登录系统。

第二步：进入查询工资的页面。

第三步：搜索该员工。

第四步：点击姓名查看工资。

这样的操作流程就是有状态的，查询工资的每一个步骤都依赖于前一个步骤，只要前置操作不成功，后续操作就无法执行。如果输入一个URL就可以得到指定员工的工资，则这种情况就是无状态的，因为获取工资不依赖于其他资源或状态，且这种情况下，员工工资是一个资源，由一个URL与之对应可以通过HTTP中的GET方法得到资源，这就是典型的RESTful风格。

REST依赖于HTTP协议

REST API中的资源就是URI，这些URI遵循一定的规范或者约束，具体样例见：REST资源命名指南 | RESTful API 中文网

在REST API中，URI只用来表示资源，而不能表示对这一资源的任何操作；对资源的操作应该从HTTP方法中加以区分：

HTTP GET <http://api.example.com/device-management/managed-devices> //Get all devices

HTTP POST <http://api.example.com/device-management/managed-devices> //Create new Device

HTTP GET <http://api.example.com/device-management/managed-devices/{id}> //Get device for given Id

HTTP PUT <http://api.example.com/device-management/managed-devices/{id}> //Update device for given Id

HTTP DELETE <http://api.example.com/device-management/managed-devices/{id}> //Delete device for given Id

有时会遇到对某些特定资源进行筛选、限制、排序等要求，合理的解决方案是在一个API中使用参数加以对不同要求的区分：

<http://api.example.com/device-management/managed-devices>

<http://api.example.com/device-management/managed-devices?region=USA>

<http://api.example.com/device-management/managed-devices?region=USA&brand=XYZ>

<http://api.example.com/device-management/managed-devices?region=USA&brand=XYZ&sort=installation-date>

在rest中会通过向服务器提交的请求类型来表示增删改查这些操作

• GET（SELECT）：从服务器取出资源。
• POST（CREATE）：在服务器新建一个资源。