验证REST API的HTTP POST请求正文

Question

我们正在考虑对服务器端POST请求正文进行不同类型的验证。

如果用户的请求包含除模式中未提及的其他字段，我们是否应该对POST请求主体使用严格的模式并抛出4xx错误。

另外，我在搜索时遇到了以下问题：

更重要的是，在REST服务中，模式验证通常不是一个好主意。 REST的主要目标是使客户端和服务器脱钩，以便它们可以分别发展。

以上是否意味着用户也可以在请求正文中发送不必要的数据？

Answer 1

如果可以的话，我绝对会严格验证所有传入的数据。 Postel的“在接受的东西上保持自由”定律被广泛认为是一个坏主意。

一个很大的问题是客户可能拼错了一个可选字段，而没有得到关于他们应该发送的内容的反馈。 服务器很少有理由仅接受垃圾值，因为通常它是某个地方存在错误的有力指示。 希望该bug非常明显而不是被其忽略是很明智的。

如果要构建API，请使用JSON-Schema并严格。

Answer 2

是的，它对我有用。 没有任何令人信服的理由拒绝您可以成功响应的请求，仅因为在合理的情况下有额外的数据（无论如何，您对API都有POST大小限制）。

解耦进化的观点是一个很好的观点。 田野来去去； 没有理由不接受对必填字段的定义已过时的请求。 我出于相同的原因，建议不要将必填字段添加到同一API端点。 归根结底， 变更是API遇到困难的最大因素，而僵化只会使变更带来的影响更加痛苦。 毕竟，我们不是“只是”希望它为我们的用户服务吗？