Ограничение тела запроса
Определение
Ограничение тела запроса — предельный размер, который приложение готово принять по конкретному адресу API; всё сверх предела отбрасывается до дорогого разбора и записи. Допустимый размер ничего не говорит о содержимом: структуру, тип и рабочий смысл приложение проверяет отдельно.
Также ищут: Request body limit · лимит тела запроса · maximum request size · upload size limit
Зачем это знать
Даже несколько огромных запросов могут исчерпать память, пропускную способность или время обработчика при нормальной частоте обращений.
Карта понятия
Что подтверждено
Защита API включает ограничения ресурсов помимо частоты запросов; размер тела следует проверять до дорогого разбора и записи.
Граница применимости: Защита ресурсов API.
Допустимый размер не делает содержимое корректным: структуру, тип, синтаксис и рабочий смысл приложение проверяет отдельно.
Граница применимости: Различие между ограничением размера и проверкой содержимого.
Что проверить
- Задайте предел для каждого адреса.
- Считайте размер после декодирования.
- Отклоняйте запрос до тяжёлого разбора.
Первоисточники
- Guidelines for API Protection for Cloud-Native Systems
Задаёт API lifecycle controls для authentication, authorization, rate limits, resource limits, logging и monitoring.
- Input Validation Cheat Sheet
Задаёт раннюю server-side проверку syntax и semantics, allowlist approach и границу с output encoding.
Утверждения: 02