Простыми словами
Представьте обычный интернет-сервис, который получает данные и команды от пользователей, браузеров и других систем. Без явных проверок он легко начинает доверять тому, что пришло извне, хотя внешний ввод всегда может быть ошибочным или враждебным. Так внешние данные и права проходят проверку до того, как смогут изменить состояние системы или получить доступ к защищённым ресурсам. Поэтому главное - заранее ограничить возможный ущерб и проверить, что лишний доступ или опасный ввод не проходят незаметно.
Пример при разработке
Например, для «Лимит бизнес-операций API» назначают ответственного и добавляют тест или метрику, по которой видно реальный результат.
Это редакционный пример применения, а не часть определения или доказательство концепции.Формальное определение
Ограничение частоты значимых действий, например покупки или отправки кода, а не только общего числа HTTP-запросов.
Механизм действия
Для «Лимит бизнес-операций API» команда фиксирует область действия, владельца, проверяемый сигнал и поведение при нарушении условия.
Пример в работе
Повторять термин «Лимит бизнес-операций API», не объяснив, где он применяется, кто отвечает и по какому признаку видно результат.
Связать «Лимит бизнес-операций API» с конкретным сценарием, автоматической или ручной проверкой и правилом пересмотра.
Ограничения
«Лимит бизнес-операций API» решает ограниченную задачу и не заменяет проверку соседних рисков, исходных допущений и последствий для всей системы.
Источник
OWASP, “OWASP API Security Top 10 — 2023”, 2023.