کُندامفهوم
کلید خصوصی و قرارداد API؛ قبل از اتصال چه بدانی؟
کلید خصوصی باید در سمت سرور مصرف شود و به کد عمومی مرورگر نرسد. پیش از اتصال پروژهٔ کُندا، قرارداد مقصد، ورودی، پاسخ و احراز هویت را بررسی کن؛ این صفحه مرجع اجرایی API عمومی کُندا نیست.
در این راهنما
#کلید خصوصی برای مرورگر نیست
هر چیزی که در کد عمومی مرورگر قرار بگیرد می‌تواند توسط بازدیدکننده دیده شود. رمز سرویس را در پرامپت، دانش پروژه، نشانی صفحه یا فایل عمومی نگذار.
#از قرارداد همان پروژه استفاده کن
برای اتصال، نشانی مقصد، روش درخواست، ورودی، پاسخ و روش احراز هویت لازم است. این‌ها را از قرارداد همان پروژه یا سرویس مقصد بردار. یک نمونه با Bearer، نام مسیر یا کد پاسخ را بدون تطبیق با قرارداد اجرا نکن.
#راز را در سمت سرور نگه دار
در محیط ساخت، «سرویس ابری ← کلیدهای امنیتی» را بررسی کن، اگر برای اتصال موردنظر در دسترس است. صرف ذخیرهٔ کلید کافی نیست؛ تابع سرور باید آن را بخواند و کد مرورگر نباید مقدار را دریافت کند. برای اتصال نامشخص، پیش از واردکردن کلید واقعی مسیر پشتیبانی را دنبال کن.
#آزمون کم‌خطر
با محیط آزمایشی سرویس مقصد، یک ورودی ساختگی و کلید آزمایشی شروع کن. پاسخ موفق، ورودی نامعتبر و دسترسی غیرمجاز را جدا بررسی کن. مقدار کلید را در تصویر یا گزارش نگذار.
#پیش از اتصال این قرارداد را کامل کن
| جزء قرارداد | نمونهٔ چیزی که باید مشخص باشد |
|---|---|
| مقصد و روش | نشانی رسمی سرویس و روش مستندشدهٔ درخواست |
| ورودی و پاسخ | فیلدهای ضروری، قالب و پاسخ خطا |
| دسترسی | هویت کاربر، مجوز عمل و محل نگه‌داری راز |
| محیط آزمایش | کلید آزمایشی، دادهٔ فرضی و مقصد غیرعملیاتی |
| تکرار و محدودیت | رفتار در خطا، محدودیت درخواست و جلوگیری از اثر تکراری |
#اگر به نتیجه نرسیدی
| نشانه | اقدام بعدی |
|---|---|
| اتصال خطای دسترسی می‌دهد | محیط آزمایشی، اعتبار کلید و مجوز سرویس مقصد را بررسی کن؛ مقدار کلید را در گزارش نگذار. |
| کلید وارد کد عمومی شده | آن را در سرویس صادرکننده باطل و جایگزین کن؛ حذف متن از صفحه، کلید افشاشده را امن نمی‌کند. |
قدم بعد