api-security-best-practices

النتيجة المتوقعة:

Étapes clés d'implémentation : 1) Utilisez des secrets JWT forts de 256 bits depuis les variables d'environnement, 2) Définissez une expiration courte (1 heure) pour les jetons d'accès, 3) Implémentez des jetons d'actualisation stockés dans la base de données, 4) Vérifiez les claims issuer et audience, 5) Utilisez HTTPS uniquement, 6) Implémentez une liste noire de jetons pour la déconnexion. L'exemple de code montre un point de terminaison de login avec vérification de mot de passe bcrypt et signature JWT.

النتيجة المتوقعة:

Implémentez une limitation du débit en plusieurs niveaux : 1) Limite API générale (100 requêtes par 15 minutes), 2) Limite plus stricte pour les points de terminaison d'authentification (5 tentatives par 15 minutes), 3) Limites par utilisateur basées sur le niveau d'abonnement, 4) Utilisez Redis pour la limitation du débit distribuée, 5) Renvoyez les en-têtes de limitation du débit appropriés. L'exemple utilise express-rate-limit avec un store Redis.

النتيجة المتوقعة:

Ne concaténez jamais les entrées utilisateur dans les requêtes SQL. Utilisez : 1) Requêtes paramétrées ou ORM (Prisma, Sequelize), 2) Validation des entrées avec Zod ou Joi, 3) Listes autorisées pour les types de données, 4) Sanitisez le HTML pour les XSS avec DOMPurify. L'exemple montre une concaténation de chaîne vulnérable vs une requête paramétrée sécurisée.