امنیت API یعنی چه؟

لایه‌های کلیدی امنیت API

• Authentication/Authorization: بررسی هویت (JWT/OAuth2) و بررسی دسترسی روی هر Endpoint.
• Rate Limiting: جلوگیری از سوءاستفاده یا حمله Brute-Force با محدودکردن تعداد درخواست در بازه زمانی.
• Input Validation: اعتبارسنجی هر پارامتر ورودی، حتی در APIهای داخلی.
• کمترین داده لازم در پاسخ (Least Data Exposure): فقط فیلدهایی که کلاینت واقعاً نیاز دارد را برگردانید، نه کل مدل دیتابیس.

مثال: Rate Limiting در ASP.NET Core

builder.Services.AddRateLimiter(options =>
    options.AddFixedWindowLimiter("api", opt =>
    {
        opt.PermitLimit = 100;
        opt.Window = TimeSpan.FromMinutes(1);
    }));

app.UseRateLimiter();
app.MapGet("/api/orders", GetOrders).RequireRateLimiting("api");

اشتباه رایج

❌ برگرداندن کل Entity دیتابیس (شامل Hash رمز عبور یا فیلدهای داخلی) مستقیم به‌عنوان پاسخ API — همیشه از DTO مشخص استفاده کنید، نه Serialize مستقیم Entity.

منبع و مطالعه بیشتر

• OWASP API Security Top 10