蚊章汇 - API
type: channel
link: https://linuxcn.bwsl.wang/tag/API/
items: 硬核观察 #1158 马自达封杀了业余爱好者的智能汽车 API 工具
items: 使用开源 API 网关实现可伸缩 API
items: 硬核观察 #1034 Reddit 威胁换掉继续抗议的子区管理员
items: 使用开源 Python API 封装器与你的集群对话
items: 硬核观察 #836 可根据自然语言指令进行《我的世界》游戏的 AI
items: 用 Python 测试 API 的 3 种方式
items: 硬核观察 #694 马斯克称推特的 API 速率限制是他决定放弃收购的核心原因
items: 硬核观察 #686 一家中国公司发布了首款 RISC-V 笔记本电脑？
items: 如何调用没有文档说明的 Web API
items: 完善的 API 的 4 个基本特征

硬核观察 #1158 马自达封杀了业余爱好者的智能汽车 API 工具
type: item
date: 2023-10-18T23:37:59+08:00
description: 马自达封杀了业余爱好者的智能汽车 API 工具上周之前，马自达汽车的车主如果同时安装了“Home Assistant”应用，就可以为自己的汽车创建一些方便的连接。比如根据能源的动态价格控制充电器；再比如还可以在早晨通勤前检查油量，在天气预报下雨前提醒他们车窗是否已关好，以及在寒冷条件下远程解锁和启动汽车等等。这些功能可以扩展的范围非常大，据称已经超出了马自达官方应用程序的功能范围。然而，马自达向 GitHub 发出了下架该仓库的要求，指控该软件包含 “侵犯版权所有权” 的代码；使用 “某些马自达信息，包括专有 API 信息来创建代码和信息”；包含提供与目前马自达应用程序中“相同功能”的代码。该软件作者出于“即使我相信我所做的事情在道德上是正确的，在法律上是受保护的，但法律程序仍然需要付出经济代价”的考虑，向“Home Assistant”核心项目提出了拉取请求，删除了马自达集成。消息来源：Ars Technica老王点评：重施甲骨文故技，我的 API 就是不能给别人用，模仿都不行。高通发布首款面向大众市场的 RISC-V 安卓 SoC去年，谷歌宣布在安卓系统中正式支持 RISC-V，并计划将其打造成与 Arm 同等重要的一级平台。而在硬件方面，高通宣布推出有史以来第一款面向大众市场的 RISC-V 安卓 SoC，它计划 “在全球（包括美国）商业化基于 RISC-V 的可穿戴设备解决方案”。RISC-V 架构是开源的，因此比 Arm 架构更便宜、更灵活，也是回避 Arm 存在的各种问题的一种方法。消息来源：Ars Technica老王点评：有望摆脱 Arm 对移动计算的统治。Reddit 正在逐步停止基于区块链的社区积分Reddit 社区积分于 2020 年首次推出，奖励给积极参与特定子区的用户，以激励更好的内容和对话。这些积分本质上是以太坊通证，存储在 Reddit 的加密货币钱包中。Reddit 称，他们“看到了社区积分未来的一些机会，但不幸的是，所需的资源配置过高，无法证明其合理性。” Rdddit 正在转而优先考虑那些不那么难以扩展的奖励项目。消息来源：Tech Crunch老王点评：对区块链的美好幻想逐一破碎，生不逢时。

使用开源 API 网关实现可伸缩 API
type: item
date: 2023-06-27T01:00:35+08:00
description: 采用 Apache APISIX 的 API 主导架构。API 网关是一个单一节点，提供对 API 调用入口。网关聚合了所请求的服务，并相应传回合适的响应信息。为了令你的 API 网关有效地工作，设计一个可靠、高效且简洁地 API 至关重要。本文介绍一种设计风格，但只要你理解其中的重点内容，它就能解决你的相关问题。由 API 主导的方法API 主导的方法是将 API 置于应用程序和它们需要访问的业务能力之间的通信核心，从而在所有数字通道上一致地交付无缝功能。API 主导的连接是指使用一种可重用、且设计得当的 API 来连接数据和应用程序的方法。API 主导的架构API 主导的架构是一种架构方法，它着眼于实现重用 API 的最佳方式。它能解决以下问题：保护 API，使外界无法在未授权情况下访问 API确保应用程序能找到正确的 API 端点限制对 API 的请求次数，从而确保持续的可用性支持持续集成、测试、生命周期管理、监控、运维等等防止错误在栈间传播对 API 的实时监测和分析实现可伸缩和灵活的业务能力（例如支持 微服务 架构）API 资源路由实现一个 API 网关，把它作为与所有服务通信的单一入口点，意味着使用者只需要知道 URL 就能使用 API。将请求路由到相应的服务端点，并执行相应的功能是 API 网关的职责。由于客户端应用程序不需要从多个 HTTP 端点调用功能，这个办法就减少了 API 使用者的操作复杂度。对每个服务来说，也不需实现一个单独的层级去实现认证、授权、节流和速度限制。大多数API 网关，如开源的 Apache APISIX，已经包含了这些核心功能。API 基于内容的路由基于内容的路由机制也使用 API 网关根据请求的内容进行路由调用。例如，一个请求可能是基于 HTTP 请求的头部内容或消息体被路由，而不只基于它的目标 URI。考虑这样一个场景：为了将负载在多个数据库实例间均分，需要对数据库进行分区。当记录总数较大，单个数据库实例难以管理负载时，常常会用这个办法。还有一个更好的办法，就是把记录在多个数据库实例间分散开来。然后你实现多个服务，每个不同的数据库都有一个服务，把一个 API 网关作为访问所有服务的唯一入口。然后，你可以配置你的 API 网关，根据从 HTTP 头或有效载荷中获得的密钥，将调用路由到相应的服务。在上面的图表中，一个 API 网关向多个客户服务暴露一个单一的 /customers 资源，每个服务都有对应的不同数据库。API 地理路由API 地理路由解决方案根据 API 调用的来源将其路由到最近的 API 网关。为了防止地理距离导致的延迟问题（例如一个位于亚洲的客户端调用了位于北美地区的 API），你可以在多个地区部署 API 网关。对于一个 API 网关，你可以在每个区域使用不同的子域名，让应用程序基于业务逻辑选择最近的网关。因此 API 网关就提供了内部负载均衡，确保进入的请求分布于可用的实例之间。通常使用 DNS 流量管理服务和 API 网关，针对该区域的负载均衡器解析子域名，定位到距离最近的网关。API 聚合器这项技术对多个服务执行操作（例如查询），并向客户端服务以单个 HTTP 响应的形式返回结果。API 聚合器使用 API 网关在服务器端代表使用者来执行这项工作，而非让客户端程序多次调用 API。假定你有一款移动端 APP，对不同的 API 发起多次调用。这增加了客户端代码的复杂性，导致网络资源的过度使用，而且由于延迟性，用户体验也不好。网关可以接收所有需要的信息，可以要求认证和验证，并理解来自每个 API 的数据结构。它也可以传递响应的有效载荷，因此它们也会作为一个用户需要的统一负载传回移动端。API 集中认证在这种设计中，API 网关就是一个集中式认证网关。作为一个认证者，API 网关在 HTTP 请求头中查找访问凭据（例如不记名的令牌）。然后它借助于身份验证提供方执行验证凭据的业务逻辑。使用 API 网关的集中式身份验证能解决很多问题。它完全取代了应用程序中的用户管理模块，通过对来自客户端应用程序的身份验证请求的快速响应来提高性能。Apache APISIX 提供了一系列插件，支持不同的 API 网关认证方法。API 格式转换API 格式转换是通过同一传输方式将有效载荷从一种格式转换为另一种格式的能力。例如，你可以通过 HTTPS 从 XML/SOAP 格式转换为 JSON 格式，反之亦然。API 网关提供了支持 REST API 的功能，可以有效地进行负载和传输的转换。例如，它可以把消息队列遥测传输（MQTT）转换为 JSON 格式。Apache APISIX 能够接收 HTTP 请求，对其进行代码转换，然后将其转发给 gRPC 服务。它通过 gRPC Transco…

硬核观察 #1034 Reddit 威胁换掉继续抗议的子区管理员
type: item
date: 2023-06-17T02:27:41+08:00
description: Reddit 威胁换掉继续抗议的子区管理员本周初，数千 Reddit 子区 闭版 以抗议 Reddit API 的天价收费，因为这事实上扼杀了管理员们赖以执行管理操作的第三方客户端。Reddit CEO 对员工 表示 不要担心，因为抗议不会影响公司收入。他称，“大部分子区会按计划在周三回归，我们干好自己的工作就行了”。周三，部分子区陆续恢复，但也有很多子区将继续保持关闭 —— 直到 Reddit 改变其政策。目前还有超过一半的子区保持关闭或限制，这包括订阅数超过四千万的 r/funny、超过三千万的 r/aww、r/Music 等。此外，Reddit 还威胁将移除继续抗议的管理员。Reddit 宣称，如果一个子区的管理团队一致同意停止管理社区，它将邀请愿意管理社区的新管理员来管理社区；而如果至少有一名管理员愿意维持社区运作，Reddit 将移除不想管理社区的管理员。消息来源：Hacker News老王点评：真是要硬扛到底啊，这不是移除几个“刺头”管理员就能解决问题的，相信这样的抗议也代表了大部分社区中坚的意见。无论如何，这都是一幕罕见的大规模社区对抗事件，让我们拭目以待。YouTube 通知其开源替代品 Invidious 关闭Invidious 是 YouTube 的一个开源 “替代前端”，允许用户在没有数据跟踪的情况下观看 YouTube 视频，也可以让用户在观看视频时不被 “恼人的广告” 打断。YouTube 声称该软件违反了其 API 政策，称它没有显示 YouTube 服务条款的链接，也没有 “明确” 解释其对用户信息的处理。YouTube 要求它在 7 天内关闭。消息来源：VICE老王点评：看来开放 API 将全面进入关闭时代，各个网站都开始扼杀这些妨碍其广告业务的客户端了。或许在官方看来，这些利用其 API 的第三方客户端就是在对它们吸血。Alphabet 出售了谷歌域名产品Alphabet 正在结束其谷歌域名业务，并将其资产以约 1.8 亿美元的价格出售给 SquareSpace。这些资产包括“在谷歌域名业务上托管的 1000 万个域名，分布在数百万个客户中”。谷歌域名业务于 2014 年推出，在 2022 年退出了测试阶段。它拥有诸多新的顶级域名，是 HTTPS 的主要支持者之一。消息来源：9to5google老王点评：谷歌连域名这么重要的基础设施服务都开始砍掉，以后还能信任谷歌在基础设施方面的持续性么？

使用开源 Python API 封装器与你的集群对话
type: item
date: 2023-05-08T07:26:29+08:00
description: 结合开放的 API 和 Python 编程语言的力量。围绕 API 创建封装器的开源项目正变得越来越流行。这些项目使开发人员更容易与 API 交互并在他们的应用中使用它们。openshift-python-wrapper 项目是 openshift-restclient-python 的封装器。最初是一个帮助我们的团队使用 OpenShift API 的内部包，后来变成了一个开源项目（Apache 许可证 2.0）。本文讨论了什么是 API 封装器，为什么它很有用，以及封装器的一些例子。为什么要使用 API 封装器？API 封装器是位于应用和 API 之间的一层代码。它通过将一些涉及发出请求和解析响应的复杂性抽象出来，以简化 API 访问过程。封装器还可以提供 API 本身提供的功能之外的附加功能，例如缓存或错误处理。使用 API 封装器使代码更加模块化并且更易于维护。无需为每个 API 编写自定义代码，你可以使用封装器来提供与 API 交互的一致接口。它可以节省时间，避免代码重复，并减少出错的机会。使用 API 封装器的另一个好处是它可以保护你的代码免受 API 变化的影响。如果 API 更改了它的接口，你可以更新封装器代码而无需修改你的应用程序代码。随着时间的推移，这可以减少维护应用程序所需的工作。安装该应用位于 PyPi 上，因此使用 pip 命令 安装 openshift-python-wrapper：$ python3 -m pip install openshift-python-wrapper Python 封装器OpenShift REST API 提供对 OpenShift 平台的许多功能的编程访问。封装器提供了一个简单直观的界面，用于使用 openshift-restclient-python 库与 API 进行交互。它标准化了如何使用集群资源，并提供了统一的资源 CRUD（创建、读取、更新和删除）流程。它还提供额外的功能，例如需要由用户实现的特定于资源的功能。随着时间的推移，封装器使代码更易于阅读和维护。简化用法的一个示例是与容器交互。在容器内运行命令需要使用 Kubernetes 流、处理错误等。封装器处理这一切并提供 简单直观的功能。>>> from ocp_resources.pod import Pod >>> from ocp_utilities.infra import get_client >>> client = get_client() ocp_utilities.infra INFO Trying to get client via new_client_from_config >>> pod = Pod(client=client, name="nginx-deployment-7fb96c846b-b48mv", namespace="default") >>> pod.execute("ls") ocp_resources Pod INFO Execute ls on nginx-deployment-7fb96c846b-b48mv (ip-10-0-155-108.ec2.internal) 'bin\nboot\ndev\netc\nhome\nlib\nlib64\nmedia\nmnt\nopt\nproc\nroot\nrun\nsbin\nsrv\nsys\ntmp\nusr\nvar\n' 开发人员或测试人员可以使用这个封装器，我们的团队在编写代码的同时牢记测试。使用 Python 的上下文管理器可以提供开箱即用的资源创建和删除，并且可以使用继承来扩展特定场景的功能。Pytest fixtures 可以使用代码进行设置和拆卸，不留任何遗留物。甚至可以保存资源用于调试。可以轻松收集资源清单和日志。这是上下文管理器的示例：@pytest.fixture(scope="module") def namespace(): admin_client = get_client() with Namespace(client=admin_client, name="test-ns",) as ns: ns.wait_for_status(status=Namespace.Status.ACTIVE, timeout=240) yield ns def test_ns(namespace): print(namespace.name) 生成器遍历资源，如下所示：>>> from ocp_resources.node import Node >>> from ocp_utilities.infra import get_client >>> admin_client = get_c…

硬核观察 #836 可根据自然语言指令进行《我的世界》游戏的 AI
type: item
date: 2022-12-01T03:31:03+08:00
description: 可根据自然语言指令进行《我的世界》游戏的 AI英伟达最近发布的一篇论文，披露了其为《我的世界》游戏训练的通用 AI 代理 MineDojo。研究人员给它输入了 73 万个 YouTube 视频（转录了超过 22 亿字），抓取了 7000 个维基网页，以及 34 万个 Reddit 帖子和 660 万条评论。人们可以用高级自然语言告诉 MineDojo 代理在游戏中做什么。不同于其它为电子游戏开发的 AI，它们往往只擅长特定的任务，研究人员开发了一个可扩展的训练框架，能够成功执行各种开放式任务的通用代理。消息来源：Ars Technica老王点评：能根据自然语言进行游戏，这距离通用 AI 更进一步了。GPT-3 可以写押韵的诗歌和歌词OpenAI 宣布了 GPT-3 的一个新模型，人们发现它可以生成押韵的歌曲、打油诗和诗歌，而这是 GPT-3 以前无法产生的水平。用机器生成诗歌并不新鲜，甚至早在 1845 年，发明家们就已经在想办法通过自动化来写出有表现力的诗句。但是，专家们特别指出，GPT-3 的最新模型可以将有关各种主题和风格的知识整合到一个能写出连贯文字的模型中。消息来源：Ars Technica老王点评：AI 甚至可以写押韵的诗歌，比那些下三路诗歌强了不止一点。API 安全漏洞成为大量泄露数据的重要风险恶意行为者利用 2021 年 12 月披露的一个 API 漏洞，获得了超过 540 万 Twitter 用户的数据。报告称，在过去 12 个月里，95% 的企业在生产用的 API 中遇到了安全问题，20% 的企业由于 API 中的安全漏洞而遭受数据泄露。API 攻击的一个不幸的现实是，这些系统的漏洞提供了对前所未有的数据量的访问。消息来源：Venture Beat老王点评：API 是一道通向内部的门，而设计一个完善安全的 API 的重要性，往往被人忽视。

用 Python 测试 API 的 3 种方式
type: item
date: 2022-08-19T02:08:00+08:00
description: 单元测试可能令人生畏，但是这些 Python 模块会使你的生活变得更容易。在这个教程中，你将学到如何对执行 HTTP 请求代码的进行单元测试。也就是说，你将看到用 Python 对 API 进行单元测试的艺术。单元测试是指对单个行为的测试。在测试中，一个众所周知的经验法则就是隔离那些需要外部依赖的代码。比如，当测试一段执行 HTTP 请求的代码时，建议在测试过程中，把真正的调用替换成一个假的的调用。这种情况下，每次运行测试的时候，就可以对它进行单元测试，而不需要执行一个真正的 HTTP 请求。问题就是，怎样才能隔离这些代码？这就是我希望在这篇博文中回答的问题！我不仅会向你展示如果去做，而且也会权衡不同方法之间的优点和缺点。要求：Python 3.8pytest-mockrequestsflaskresponsesVCR.py使用一个天气状况 REST API 的演示程序为了更好的解决这个问题，假设你正在创建一个天气状况的应用。这个应用使用第三方天气状况 REST API 来检索一个城市的天气信息。其中一个需求是生成一个简单的 HTML 页面，像下面这个图片：伦敦的天气，OpenWeatherMap。图片是作者自己制作的。为了获得天气的信息，必须得去某个地方找。幸运的是，通过 OpenWeatherMap 的 REST API 服务，可以获得一切需要的信息。好的，很棒，但是我该怎么用呢？通过发送一个 GET 请求到：https://api.openweathermap.org/data/2.5/weather?q={city_name}&appid={api_key}&units=metric，就可以获得你所需要的所有东西。在这个教程中，我会把城市名字设置成一个参数，并确定使用公制单位。检索数据使用 requests 模块来检索天气数据。你可以创建一个接收城市名字作为参数的函数，然后返回一个 JSON。JSON 包含温度、天气状况的描述、日出和日落时间等数据。下面的例子演示了这样一个函数：def find_weather_for(city: str) -> dict: """Queries the weather API and returns the weather data for a particular city.""" url = API.format(city_name=city, api_key=API_KEY) resp = requests.get(url) return resp.json() 这个 URL 是由两个全局变量构成：BASE_URL = "https://api.openweathermap.org/data/2.5/weather" API = BASE_URL + "?q={city_name}&appid={api_key}&units=metric" API 以这个格式返回了一个 JSON：{ "coord": { "lon": -0.13, "lat": 51.51 }, "weather": [ { "id": 800, "main": "Clear", "description": "clear sky", "icon": "01d" } ], "base": "stations", "main": { "temp": 16.53, "feels_like": 15.52, "temp_min": 15, "temp_max": 17.78, "pressure": 1023, "humidity": 72 }, "visibility": 10000, "wind": { "speed": 2.1, "deg": 40 }, "clouds": { "all": 0 }, "dt": 1600420164, "sys": { "type": 1, "id": 1414, "country": "GB", "sunrise": 1600407646, "sunset": 1600452509 }, "timezone": 3600, "id": 2643743, "name": "London", "cod": 200 当调用 resp.json() 的时候，数据是以 Python 字典的形式返回的。为了封装所有细节，可以用 dataclass 来表示它们。这个类有一个工厂方法，可以获得这个字典并且返回一个 WeatherInfo 实例。这种办法很好，因为可以保持这种表示方法的稳定。比如，如果 API 改变了 JSON 的结构，就可以在同一个地方（from_dict 方法中）修改逻辑。其他代码不会受影响。你也可以从不同的源获得信息，然后把它们都整合到 from_dict 方法中。@…

硬核观察 #694 马斯克称推特的 API 速率限制是他决定放弃收购的核心原因
type: item
date: 2022-07-12T05:25:38+08:00
description: 马斯克称推特的 API 速率限制是他决定放弃收购的核心原因马斯克曾多次公开表示，他希望知道有多少推特账户是由机器人运营的，因为他觉得可疑账户的数量影响了公司的价值。因此他寻求检测和处理虚假账户的方法。当推特最终提供了马斯克明确要求的 8 个开发者 API 的访问权时，这些 API 的速率限制低于推特向其最大企业客户提供的速率限制。马斯克称，这使得他们无法在任何合理的时间内完成数据分析。消息来源：The Register老王点评：看看，对 API 访问提供速率限制有多严重。: D许多老的 X.Org 组件在本周末有新的发布上周末，Oracle 的长期 X.Org 贡献者 Alan Coopersmith 对各种旧的、很少维护的 X.Org 项目发布了许多新的更新。这些软件多年来没有任何更新，新的版本大多只是收集了过去几年中的一些随机修复。总的来说，这些更新并没有什么值得兴奋的改进。消息来源：Phoronix老王点评：这是觉得 X.org 快被放弃了才最后抢救一次？从另外一方面看，可见 X.org 社区有多冷清了。连随手收到的一些修复都懒得发布个新版本。Linode 现在提供 Kali Linux 实例Kali Linux 是一个为渗透测试或黑客而设计的 Linux 发行版。这个基于 Debian 的 Linux 是安全研究人员最喜欢的发行版。它现在可以在 Linode 云上使用了，你可以用它来测试和保护你的生产系统。Linode 云是第一个与 Kali Linux 合作的替代云提供商。消息来源：ZDNet老王点评：这是一个跑在公有云上的黑客套装？总觉得哪里不对。

硬核观察 #686 一家中国公司发布了首款 RISC-V 笔记本电脑？
type: item
date: 2022-07-04T01:03:46+08:00
description: 一家中国公司发布了首款 RISC-V 笔记本电脑？“RISC-V 国际”透露，一家名为“鉴释”的中国公司已经宣布了第一台面向开发者的 RISC-V 笔记本电脑，现已开放预订。据介绍，这个 “ROMA” 开发平台具有四核 RISC-V 处理器，高达 16GB 的内存，最大 256GB 的存储空间，并且可以运行大多数 RISC-V Linux 发行版。有趣的是，这家名为“鉴释”的公司原本是一家开发静态代码分析工具的公司，这个名为“ROMA”的新产品也无法在其中英文网站找到任何链接，只有一个孤儿 预定页，而预定页中提供一个表格，没有确定的价格或预期供应量的信息、甚至连概念图都没有，并且还提到了一些 Web3 和 NFT 的事情。消息来源：Phoronix老王点评：这真不是洋葱新闻？谷歌推出“高级 API 安全”服务谷歌宣布了“高级 API 安全”的预览版，这是一个新产品，将在谷歌云上推出，旨在检测与 API 有关的安全威胁。该服务可以识别 API 错误配置和检测恶意机器人。配置错误的 API 是造成 API 安全事件的主要原因之一。开发者们越来越依赖 API，但它们也越来越成为攻击的目标。根据一份 2018 年的报告，三分之二的组织正在向公众和合作伙伴暴露了不安全的 API。消息来源：Tech Crunch老王点评：一个配置不当的 API，造成的影响可能非常可怕，我想网络安全圈子对这个很有感受。Linux Mint 21 不准备用 oomdLinux Mint 21 正在努力争取在今年夏天发布，它是建立在 Ubuntu 22.04 LTS 之上的。但因 Ubuntu 22.04 在 systemd-oomd 上广受批评，Linux Mint 决定不用这个服务来“屠杀”用户的应用。Canonical 公司的开发人员一直在努力修复这个问题，随着最新提出的 SRU 可能会有所改善。消息来源：Phoronix老王点评：Mint 做了明智的选择。这根本不是 oomd 的策略问题，而是不经过用户同意，甚至用户没有反对的机会，就被杀了应用。

如何调用没有文档说明的 Web API
type: item
date: 2022-03-15T18:31:25+08:00
description: 大家好！几天前我写了篇 小型的个人程序 的文章，里面提到了调用没有文档说明的“秘密” API 很有意思，你需要从你的浏览器中把 cookies 复制出来才能访问。有些读者问如何实现，因此我打算详细描述下，其实过程很简单。我们还会谈谈在调用没有文档说明的 API 时，可能会遇到的错误和道德问题。我们用谷歌 Hangouts 举例。我之所以选择它，并不是因为这个例子最有用（我认为官方的 API 更实用），而是因为在这个场景中更有用的网站很多是小网站，而小网站的 API 一旦被滥用，受到的伤害会更大。因此我们使用谷歌 Hangouts，因为我 100% 肯定谷歌论坛可以抵御这种试探行为。我们现在开始！第一步：打开开发者工具，找一个 JSON 响应我浏览了 https://hangouts.google.com，在Firefox的开发者工具中打开“ruby网络rtNetwork/rt/ruby”标签，找到一个 JSON 响应。你也可以使用 Chrome 的开发者工具。打开之后界面如下图：找到其中一条 “ 类型 Type ” 列显示为 json 的请求。为了找一条感兴趣的请求，我找了好一会儿，突然我找到一条 “people” 的端点，看起来是返回我们的联系人信息。听起来很有意思，我们来看一下。第二步：复制为 cURL下一步，我在感兴趣的请求上右键，点击 “复制Copy” -> “ 复制为 cURL Copy as cURL ”。然后我把 curl 命令粘贴到终端并运行。下面是运行结果：$ curl 'https://people-pa.clients6.google.com/v2/people/?key=REDACTED' -X POST ........ （省略了大量请求标头） Warning: Binary output can mess up your terminal. Use "--output -" to tell Warning: curl to output it to your terminal anyway, or consider "--output Warning: <FILE>" to save to a file. 你可能会想 —— 很奇怪，“二进制的输出在你的终端上无法正常显示” 是什么错误？原因是，浏览器默认情况下发给服务器的请求头中有 Accept-Encoding: gzip, deflate 参数，会把输出结果进行压缩。我们可以通过管道把输出传递给 gunzip 来解压，但是我们发现不带这个参数进行请求会更简单。因此我们去掉一些不相关的请求头。第三步：去掉不相关的请求头下面是我从浏览器获得的完整 curl 命令。有很多行！我用反斜杠（\）把请求分开，这样每个请求头占一行，看起来更清晰：curl 'https://people-pa.clients6.google.com/v2/people/?key=REDACTED' \ -X POST \ -H 'User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:96.0) Gecko/20100101 Firefox/96.0' \ -H 'Accept: */*' \ -H 'Accept-Language: en' \ -H 'Accept-Encoding: gzip, deflate' \ -H 'X-HTTP-Method-Override: GET' \ -H 'Authorization: SAPISIDHASH REDACTED' \ -H 'Cookie: REDACTED' -H 'Content-Type: application/x-www-form-urlencoded' \ -H 'X-Goog-AuthUser: 0' \ -H 'Origin: https://hangouts.google.com' \ -H 'Connection: keep-alive' \ -H 'Referer: https://hangouts.google.com/' \ -H 'Sec-Fetch-Dest: empty' \ -H 'Sec-Fetch-Mode: cors' \ -H 'Sec-Fetch-Site: same-site' \ -H 'Sec-GPC: 1' \ -H 'DNT: 1' \ -H 'Pragma: no-cache' \ -H 'Cache-Control: no-cache' \ -H 'TE: trailers' \ --data-raw 'personId=101777723309&personId=1175339043204&personId=11152665…

完善的 API 的 4 个基本特征
type: item
date: 2021-06-14T23:56:06+08:00
description: 创建一个 API（应用程序接口），我们所要做的远远不止是让它能“正常工作”。如果你正在构建基于 C/S 模型的应用程序，那么你需要一个应用程序接口（API）。API 就是一种非常清晰而又明确的定义，它是一个 进程 process 与另一个进程之间明确定义的边界。Web 应用中我们常见的边界定义就是 REST/JSON API。虽然很多开发者可能主要关注在如何让 API 正常工作（或功能正常），但却还有一些“非功能性”的要求也是需要他们注意的。所有的 API 必须具备 的 4 个非功能性的要求是：安全文档验证测试安全在软件开发中，安全是最基本的要求。对于 API 开发者来说，API 的安全性主要包含以下 4 个方面：HTTPS/SSL 证书跨域资源共享身份认证与 JSON Web 令牌授权与作用域1、HTTPS/SSL 证书Web 应用的黄金标准是使用 SSL 证书的 HTTPS 协议。Let's Encrypt 可以帮你达到这一目的。Let's Encrypt 来自于非营利性的互联网安全研究小组（ISRG），它是一个免费的、自动化的、开放的证书颁发机构。Let's Encrypt 的软件会为你的域（LCTT 译注：包含域名、IP 等信息）生成中央授权证书。而正是这些证书确保了从你的 API 到客户端的数据载荷是点对点加密的。Let's Encrypt 支持证书管理的多种部署方案。我们可以通过查看 文档 来找出最适合自己需要的方案。2、跨域资源共享 跨域资源共享 Cross-origin resource sharing （CORS）是一个针对浏览器的安全策略预检。如果你的 API 服务器与发出请求的客户端不在同一个域中，那么你就要处理 CORS。例如，如果你的服务器运行在 api.domain-a.com 并且接到一个来自 domain-b.com 的客户端的请求，那么 CORS 就会（让浏览器）发送一个 HTTP 预检请求，以便查看你的 API 服务是否会接受来自此客户域的客户端请求。来自 MDN 的定义：“跨域资源共享（CORS）是一种基于 HTTP 头的机制，这种机制允许服务器标记除自身源外的其他任何来源（域、方案或端口）。而对于这些被服务器标识的源，浏览器应该允许我们从它们加载资源。”(MDN文档， CC-BY-SA 2.5)另外，有很多用于 Node.js 的辅助库来 帮助 API 开发者处理 CORS。3、身份认证与 JSON Web 令牌有多种方法可以验证你的 API 中的认证用户，但最好的方法之一是使用 JSON Web 令牌（JWT），而这些令牌使用各种知名的加密库进行签名。当客户端登录时，身份管理服务会向客户端提供一个 JWT。然后，客户端可以使用这个令牌向 API 发出请求，API 收到请求后，从服务器读取公钥或私密信息来验证这个令牌。有一些现有的库，可以帮助我们对令牌进行验证，包括 jsonwebtoken。关于 JWT 的更多信息，以及各种语言中对其的支持库，请查看 JWT.io。import jwt from 'jsonwebtoken' export default function (req, res, next) { // req.headers.authorization Bearer token const token = extractToken(req) jwt.verify(token, SECRET, { algorithms: ['HS256'] }, (err, decoded) => { if (err) { next(err) } req.session = decoded next() }) } 4、授权与作用域认证（或身份验证）很重要，但授权同样很重要。也就是说，经过验证的客户端是否有权限让服务器执行某个请求呢？这就是作用域的价值所在。当身份管理服务器对客户端进行身份认证，且创建 JWT 令牌时，身份管理服务会给当前客户提供一个作用域，这个作用域将会决定当前经过验证的客户的 API 请求能否被服务器执行。这样也就免去了服务器对访问控制列表的一些不必要的查询。作用域是一个文本块（通常以空格分隔），用于描述一个 API 端点的访问能力。一般来说，作用域被分为资源与动作。这种模式对 REST/JSON API 很有效，因为它们有相似的 RESOURCE:ACTION 结构。（例如，ARTICLE:WRITE 或 ARTICLE:READ，其中 ARTICLE 是资源，READ 和 WRITE 是动作）。作用域的划分让我们的 API 能够专注于功能的实现，而不是去考虑各种角色和用户。身份访问管理服务可以将不同的角色和用户分配不同的权限范围，然后再将这些不同的作用域提供给不同的 …