Jak działa serwer API?

jak działa serwer api? Żądanie, przetwarzanie i odpowiedź

Zrozumienie mechanizmu wymiany danych ma kluczowe znaczenie dla współczesnych twórców oprogramowania.
Pozwala to na jak działa serwer api w sposób sprawny przy projektowaniu nowoczesnych systemów informatycznych oraz ułatwia integrację zewnętrznych usług bez popełniania kosztownych błędów architektonicznych.

Jak działa serwer API? Wyjaśnienie bez żargonu

Serwer API działa jak cyfrowy kelner: przyjmuje prośbę od aplikacji (klienta), idzie z nią do bazy danych lub innego systemu, a potem przynosi z powrotem gotową odpowiedź. Komunikacja odbywa się zazwyczaj przez internet za pomocą standardowych zapytań i odpowiedzi.

Większość kursów programowania kończy tłumaczenie na tej prostej analogii. Ale jest jeden bardzo nieintuicyjny błąd, który popełnia prawie 80% początkujących podczas konfiguracji metod komunikacji - pokażę ci, jak go unikać, w sekcji o metodach HTTP poniżej.

Szacuje się, że ponad 83% całego ruchu w dzisiejszym internecie to właśnie zapytania do różnych interfejsów API. To niewidzialny silnik, który pozwala aplikacjom mobilnym rozmawiać z serwerami pogodowymi, systemami płatności i mediami społecznościowymi.

Główne elementy pracy serwera API

Aby dobrze zrozumieć zasada działania api, musimy rozbić ten proces na trzy główne etapy. Każdy z nich jest równie ważny dla poprawnego działania całego systemu.

Żądanie (Request)

Na samym początku aplikacja wysyła sygnał do serwera. Określa w nim, co chce zrobić (np. pobrać dane, zapisać je lub usunąć) oraz podaje odpowiedni adres i parametry. To trochę jak wypisywanie formularza zamówienia z dokładnymi instrukcjami.

Przetwarzanie (Processing)

Serwer odbiera zapytanie, sprawdza uprawnienia klienta, a następnie wykonuje potrzebne obliczenia lub pyta bazę danych.

To kluczowy moment. Zanim serwer wykona zadanie, sprawdza klucze dostępu lub tokeny, aby upewnić się, że pytający ma do tego prawo.

Kiedy tworzyłem swoje pierwsze publiczne API, pominąłem ten krok, myśląc, że nikt tego nie znajdzie. Skutek? Moja baza danych zapełniła się testowym spamem w mniej niż 4 godziny. Bolesna nauczka, że ufanie danym przychodzącym od klienta to zawsze zły pomysł.

Odpowiedź (Response)

Serwer odsyła wynik z powrotem do aplikacji. Do odpowiedzi dołącza kod stanu (np. informujący, że wszystko poszło dobrze lub że wystąpił błąd) oraz dane najczęściej w czytelnym formacie JSON.
Format JSON to standard branżowy, który pozwala niemal każdemu językowi programowania łatwo odczytać otrzymane informacje.

Metody HTTP w serwerze API: Co oznaczają i jak ich używać?

Metody HTTP określają rodzaj operacji, jaką aplikacja chce wykonać na serwerze. GET służy do pobierania danych, POST do ich tworzenia, a PUT lub DELETE do aktualizacji i usuwania.

Pamiętasz wspomniany wcześniej błąd nowicjuszy? Oto on: używanie metody GET do modyfikowania danych.
Wydaje się to łatwiejsze, bo parametry widać w pasku adresu przeglądarki. Ślepa uliczka. Przeglądarki i systemy cacheujące automatycznie zapisują i powtarzają zapytania GET, co może prowadzić do przypadkowego nadpisania danych lub ujawnienia poufnych informacji o użytkowniku. Zawsze używaj metod HTTP zgodnie z ich prawdziwym przeznaczeniem.

Kody statusu i bezpieczeństwo dostępu

Kody statusu to po prostu liczby mówiące o wyniku operacji. Kod 200 oznacza sukces, 404 brak szukanego zasobu, a 500 błąd po stronie samego serwera.

Nikt nie lubi widzieć błędu 500. Ale dla programisty to ważna wskazówka, że coś poszło nie tak na etapie przetwarzania (Processing). Warto pamiętać, że podstawy działania api dla początkujących zakładają, że dobrze zaprojektowane API powinno zawsze zwracać spójne kody błędów, aby klient wiedział, czy ma ponowić żądanie, czy poprosić użytkownika o ponowne zalogowanie.

Porównanie popularnych architektur API

Choć większość początkujących zaczyna od REST, warto wiedzieć, że aplikacja komunikuje się z serwerem API również na inne sposoby. Każdy z nich ma swoje mocne i słabe strony.

REST API (Najlepsze na start) ⭐

• Zwraca stałe, z góry zdefiniowane struktury danych w formacie JSON

• Opiera się na standardowych metodach HTTP i stałych adresach (endpointach)

• Bardzo niski - idealny dla początkujących i prostych aplikacji internetowych

GraphQL

• Klient prosi dokładnie o te pola, których potrzebuje - eliminuje problem pobierania zbyt dużej ilości danych

• Używa jednego endpointu i specjalnego języka zapytań

• Umiarkowany - wymaga nauki dodatkowego języka zapytań i konfiguracji schematów

Droga Michała do zrozumienia tokenów uwierzytelniających

Michał, początkujący deweloper z Poznania, budował prostą aplikację do zarządzania zadaniami. Chciał, aby każdy użytkownik widział tylko swoje notatki. Logowanie działało świetnie, ale miał problem z zabezpieczeniem samych endpointów API.

Początkowo próbował wysyłać nazwę użytkownika w parametrach każdego zapytania GET. Efekt? Każdy mógł wpisać w pasku adresu imię innego użytkownika i zobaczyć jego prywatne zadania. Zrozumiał, że to ogromna luka w zabezpieczeniach.

Po przeczytaniu dokumentacji, Michał wdrożył tokeny JWT (JSON Web Tokens). Po zalogowaniu serwer generował zaszyfrowany token ważny tylko przez 60 minut, który aplikacja musiała dołączać w ukrytym nagłówku do każdego żądania.

Czas odpowiedzi serwera na weryfikację skrócił się do około 15ms, bezpieczeństwo danych wzrosło diametralnie, a Michał nauczył się, że prawdziwa autoryzacja musi być bezstanowa i niewidoczna dla zwykłego użytkownika.