Можно ли вообще отключить апи эксплорер или ограничить доступ к нему?
Я заметил в своем приложении несколько журналов, которые поступают из-за неудачных запросов, выполненных из браузера. Мой API используется только приложением для Android, поэтому единственное место, откуда они могут быть получены, — это обозреватель API. Кроме того, доступ к API ограничен 1 веб-клиентом и 1 идентификатором клиента Android.
К сожалению нет. Проводник API работает с помощью службы обнаружения, связанной с вашим API, которая на самом деле не является частью вашего бэкэнда, поэтому вы не можете указать аутентификацию или видимость для этих URI.
Метод list из службы обнаружения используется для создания списка на API Explorer, использующее ваше приложение в качестве основы:
your-app-id.appspot.com/_ah/api/discovery/v1/apis
Когда кто-то щелкает один из API в списке, полный документ обнаружения извлекается для этих apiName и apiVersion с использованием метода getRest из службы обнаружения:
your-app-id.appspot.com/_ah/api/discovery/v1/apis/{apiName}/{apiVersion}/rest
endpoints.api_server предназначен для создания единого обработчика для всех ваших API.
- person bossylobster; 21.04.2013
Если вы ищете способы предотвратить выполнение API, ознакомьтесь с Облачные конечные точки: контролируйте, кто может выполнять API через API Explorer
конечные точки упрощают авторизацию, и вы можете получить текущего пользователя. Вы должны использовать аутентификацию, чтобы гарантировать, что люди не будут связываться с вашим личным API — в противном случае люди могут отследить, какой тип сообщения или получить запросы, которые вы отправляете в любом случае — аутентификация всегда является хорошей идеей, а не попыткой сохранить ваш API в секрете.
Если вы создаете секретный продукт и не хотите, чтобы ваш конкурент узнал об этом, возможно, вы могли бы использовать какой-нибудь метод запутывания на бэкэнде и на вашем клиенте, который сделает API нечитаемым.
Кроме того, пользователь, возившийся с вашим API, не должен нарушать вашу базу данных, а если и сломает, то он должен сломать ее только для пользователя, который ведет себя глупо. Наличие логики в вашем клиенте для того, как API используются, чтобы серверная часть не ломалась, является плохой идеей - внутренние API должны заботиться о себе и не беспокоиться о том, как и почему они используются и кем и для какой цели.
