Простыми словами
Данные от внешнего API нельзя считать безопасными только потому, что поставщик известен. Ошибка или компрометация партнёра может принести вредные значения, слишком большой ответ или ложный статус. Поэтому внешние ответы проверяют, ограничивают по объёму и времени, а доверие не распространяют дальше необходимого.
Пример при разработке
Приложение берёт цену доставки у партнёрского API и сразу записывает ответ в заказ. Нужны проверка схемы, диапазонов, таймаут и безопасная обработка ошибок партнёра.
Это редакционный пример применения, а не часть определения или доказательство концепции.Механизм действия
Сначала проверяют, есть ли исходное условие из определения. Затем смотрят, как оно влияет на структуру компонентов, потоки данных, ограничения и действия участников. Если эту связь не удаётся наблюдать, принцип не стоит использовать как готовое объяснение.
Пример в работе
Использовать решение без учета его условий применимости и компромиссов.
Сопоставить проблему, контекст и ограничения с назначением концепции.
Ограничения
«Небезопасное потребление API» объясняет только часть происходящего в области «Безопасность». Сам принцип не говорит, насколько сильным будет эффект в вашем случае, и не заменяет измерения. При другом масштабе, среде или временном горизонте результат может отличаться.
Источник
OWASP Foundation. OWASP API Security Top 10 – 2023. 2023.