PHP PHP · 30 вопросов · ~85 мин · ⏱ Таймер 25:00 · Сложный · 👥 1 прошёл

REST API на PHP

Здесь оценивается не красота URL, а предсказуемость поведения клиента при успехе, ошибке и повторе запроса. Вопросы охватывают валидацию JSON, коды HTTP, идемпотентность, пагинацию, версионирование и безопасные ответы.

Отвечено: 0 из 30

⏱ --:--

💡 Инструкция: Выберите один ответ из пяти. Читайте каждый сценарий глазами клиента API: что он отправил, что получил и может ли повторить действие. Таймер — 85 минут.

Вопрос 1 из 30

Какой маршрут лучше выражает получение заказа 42?

if ($request->method === 'GET' && preg_match('#^/orders/(\d+)$#', $request->path, $m)) {
    return $ordersController->show((int) $m[1]);
}

POST /getOrder?id=42 GET /deleteOrder/42 GET /orders/42 PATCH /orders GET /orders/create

Вопрос 2 из 30

Какой метод подходит частичному изменению заказа?

if ($request->method === 'PATCH' && preg_match('#^/orders/(\d+)$#', $request->path, $m)) {
    return $ordersController->patch((int) $m[1], $request->json());
}

OPTIONS TRACE GET HEAD PATCH

Вопрос 3 из 30

Почему контроллер не должен содержать весь SQL и расчёт скидки?

final class OrderController
{
    public function __construct(private CreateOrder $createOrder) {}

    public function create(Request $request): Response
    {
        $command = CreateOrderCommand::fromArray($request->json());
        $result = $this->createOrder->execute($command);
        return JsonResponse::created($result);
    }
}

Контроллер смешает транспорт, SQL и предметную логику SQL разрешён только в модели ActiveRecord HTTP автоматически посчитает скидку Контроллер не может вызывать PDO PHP ограничивает длину метода

Вопрос 4 из 30

Что делать с неизвестным маршрутом?

Вернуть 404 в согласованном формате API Перенаправить на HTML-форму без соглашения 500 с трассировкой 200 с пустой строкой Создать маршрут автоматически

Вопрос 5 из 30

Почему порядок /users/me и /users/{id} важен в простом роутере?

PHP запрещает фигурные скобки Шаблон {id} может раньше перехватить literal me HTTP сортирует пути по длине Оба маршрута обязаны вызывать один метод me всегда число

Вопрос 6 из 30

Как безопасно декодировать обязательное JSON-тело?

if (!str_starts_with($request->header('Content-Type'), 'application/json')) {
    return JsonResponse::error('unsupported_media_type', 415);
}
$body = json_decode($request->body(), true, 512, JSON_THROW_ON_ERROR);

Считать пустой JSON объектом автоматически Проверить Content-Type и читать тело с JSON_THROW_ON_ERROR Применить unserialize Использовать $_POST всегда Выполнить eval тела

Вопрос 7 из 30

Что возвращать при синтаксически неверном JSON?

try {
    $body = json_decode($request->body(), true, 512, JSON_THROW_ON_ERROR);
} catch (JsonException) {
    return JsonResponse::error('invalid_json', 400);
}

400 Bad Request с безопасным описанием 415 Unsupported Media Type 422 Unprocessable Content с ошибками полей 409 Conflict 500 Internal Server Error

Вопрос 8 из 30

Когда уместен 422?

$violations = $validator->validate($input);
if ($violations !== []) {
    return new JsonResponse(['error' => 'validation_failed', 'fields' => $violations], 422);
}

JSON верен, но данные нарушают правила Маршрут или запрошенный ресурс не существует Запрос требует аутентификации или содержит недействительные credentials Ресурс создан, но клиенту не нужно возвращать представление Сервер столкнулся с неожиданным исключением во время обработки

Вопрос 9 из 30

Почему JSON_THROW_ON_ERROR лучше проверки json_last_error в каждом месте?

Он шифрует разобранные данные перед передачей приложению Ошибка идёт исключением, а не превращается в null Флаг автоматически исправляет синтаксические ошибки входного JSON После включения разрешаются комментарии и завершающие запятые Любое скалярное JSON-значение автоматически преобразуется в массив

Вопрос 10 из 30

Как избежать потери большого целого идентификатора у некоторых клиентов?

Кодировать число HTML-сущностями внутри JSON-строки Передавать идентификатор как float с достаточным числом знаков Удалять старшие цифры, если идентификатор превышает разрядность JavaScript Округлять значение на сервере до ближайшего представимого числа клиента Передавать большой идентификатор строкой

Вопрос 11 из 30

Успешно создан новый ресурс. Какой статус?

$order = $service->create($command);
header('Location: /orders/' . $order->id);
return new JsonResponse(['id' => (string) $order->id], 201);

200 OK с телом созданного ресурса 409 Conflict без конфликта состояния 204 No Content после создания 201 Created, желательно с Location 202 Accepted для немедленно завершённой операции

Вопрос 12 из 30

Разница 401 и 403?

if ($currentUser === null) return JsonResponse::error('unauthorized', 401);
if (!$policy->mayEdit($currentUser, $order)) return JsonResponse::error('forbidden', 403);

403 всегда требует WWW-Authenticate 401 только для JSON 401 — нет аутентификации; 403 — действие запрещено Разницы нет 401 — ресурс удалён, 403 — создан

Вопрос 13 из 30

Когда 409 Conflict уместнее 422?

if ($order->status()->isFinal()) {
    return JsonResponse::error('order_state_conflict', 409);
}

Когда сервер временно перегружен и клиенту следует повторить запрос Когда путь не сопоставлен ни с одним маршрутом приложения При успешном создании ресурса без конкурирующего состояния При конфликте с текущим состоянием ресурса Когда тело нельзя разобрать как синтаксически корректный JSON

Вопрос 14 из 30

Можно ли у 204 быть тело?

JSON обязателен, иначе клиент не узнает, что операция завершилась Только короткое сообщение об ошибке без заголовка Content-Type Нет, ответ 204 не должен содержать тело Тело допускается для DELETE, но не для других методов Можно вернуть HTML, если Content-Length установлен в ноль

Вопрос 15 из 30

Почему 200 с {"error":...} для всех ошибок плох?

HTTP не поддерживает 200 200 нельзя кэшировать Прокси, метрики и клиенты не видят неуспех HTTP JSON запрещает поле error Клиент всегда выбросит исключение

Вопрос 16 из 30

Какое изменение обычно совместимо?

return json_encode([
    'id' => $user->id,
    'name' => $user->name,
    'middle_name' => $user->middleName,
], JSON_THROW_ON_ERROR);

Добавление необязательного поля, игнорируемого старыми клиентами Удаление ранее обязательного поля из запроса или ответа Изменение типа id со строки на объект с теми же данными Переименование существующего ключа с поддержкой только нового имени Смена смысла существующего статуса 200 без новой версии

Вопрос 17 из 30

Где можно указывать версию?

$version = $request->header('Accept') === 'application/vnd.example.v2+json' ? 2 : 1;
return $presenters[$version]->order($order);

Только в cookie, поскольку URL не должен отражать контракт Только в имени PHP-файла контроллера на сервере В пути, заголовке или media type — по единому правилу Версия не нужна: клиенты обязаны сразу принимать любые изменения Только в таблице базы, недоступной клиентам

Вопрос 18 из 30

Почему изменение значения status с paid на completed может быть ломающим?

switch ($payload['status']) {
    case 'pending': showWaiting(); break;
    case 'paid': showReceipt(); break;
    default: throw new UnexpectedValueException('Unknown status');
}

Стандарт HTTP запрещает слово completed в поле JSON Клиенты могут ветвиться по прежнему набору status Строковые значения разрешено менять без версии, если тип остаётся string Значение используется только в журнале и не влияет на ветвление клиентов JSON-клиенты автоматически переводят paid в completed при разборе

Вопрос 19 из 30

Как завершать старую версию?

Постепенно менять ответы старой версии случайной доле запросов Сразу перенаправить все POST на новую версию без проверки семантики Дать срок, метрики использования, предупреждения и путь миграции Удалить endpoint в ближайшем выпуске без срока и уведомления потребителей Оставить версию навсегда, но больше не исправлять уязвимости и ошибки

Вопрос 20 из 30

Нужно ли копировать всю кодовую базу для v2?

Версионируется только база, поэтому код API всегда должен быть один Нет, версии могут адаптировать общий сервис разными DTO Версии существуют только в документации и не требуют адаптеров в коде Да, для v2 необходим полный fork приложения и зависимостей v2 должна молча изменить поведение v1, сохранив прежний путь

Вопрос 21 из 30

Что должен проверять контрактный тест?

$response = $client->get('/orders/42');
self::assertSame(200, $response->status());
self::assertSame('application/json; charset=utf-8', $response->header('Content-Type'));
self::assertIsString($response->json()['id']);

Только среднее время ответа без содержимого и статуса Статус, Content-Type, поля, типы и важные ограничения Число строк кода, которыми реализован маршрут Порядок JSON-ключей, даже если клиенты считают объект неупорядоченным Точное имя и внутреннюю структуру класса контроллера

Вопрос 22 из 30

Как тестировать идемпотентный PUT?

$first = $client->put('/profiles/42', ['name' => 'Ира']);
$second = $client->put('/profiles/42', ['name' => 'Ира']);
self::assertSame($first->json(), $second->json());
self::assertSame(1, $profiles->countById(42));

Отключить базу, чтобы исключить появление дублей при повторе Повторить PUT и проверить одно состояние без дублей При повторном запросе изменить payload, чтобы получить другое состояние Проверить только ответ 500 и не читать сохранённый ресурс Отправить PUT один раз: идемпотентность из этого не наблюдается

Вопрос 23 из 30

Зачем request_id в ошибке?

$requestId = bin2hex(random_bytes(8));
$logger->error('API failure', ['request_id' => $requestId, 'exception' => $error]);
return new JsonResponse(['error' => 'internal_error', 'request_id' => $requestId], 500);

Связать ответ клиента с подробным серверным журналом Вернуть по нему полный stack trace непосредственно в HTTP-ошибке Заменить HTTP-status внутренним идентификатором события Использовать request_id как дополнительный пароль для клиента Выбрать версию API и формат сериализации ответа

Вопрос 24 из 30

Какие тела проверить?

Только тело предельно допустимого размера Пустое, битый JSON, лишние и отсутствующие поля Только верхнеуровневый массив, даже если контракт ожидает объект Только JSON null как самый короткий пограничный вход Только один полностью корректный пример без лишних полей

Вопрос 25 из 30

Почему snapshot всего JSON может быть хрупким?

PHP удаляет файлы snapshot после каждого тестового процесса JSON невозможно сравнивать между запусками без бинарной сериализации Новое поле или порядок ломает снимок, хотя контракт сохранён Снимок всегда пропускает удалённые обязательные поля и неверные типы Snapshot-библиотеки не поддерживают строковые значения JSON

Вопрос 26 из 30

Как предотвратить IDOR?

$order = $orders->findOwnedBy($orderId, $currentUser->id);
if ($order === null) {
    return JsonResponse::error('not_found', 404);
}

Скрыть id стилями на клиенте, оставив endpoint без проверки владельца Зашифровать тело JSON, но не проверять право субъекта на ресурс Искать ресурс в контексте владельца или политики доступа Использовать длинный непредсказуемый URL как единственную защиту Проверить только числовой формат id и существование ресурса

Вопрос 27 из 30

Зачем ограничивать размер JSON-тела?

$length = (int) $request->header('Content-Length');
if ($length > 1_000_000) {
    return JsonResponse::error('payload_too_large', 413);
}

Ограничить память, время разбора и нагрузку на зависимости Считать любое тело больше 1 КБ атакой независимо от маршрута и контракта Отключить CORS, поскольку оно определяет допустимый размер тела Ускорить password_hash, освободив память, занятую JSON Возвращать 204 для больших запросов, не разбирая и не отклоняя их

Вопрос 28 из 30

Что включать в rate limit ответ?

if (!$limiter->allow($clientKey)) {
    header('Retry-After: ' . $limiter->retryAfter($clientKey));
    return JsonResponse::error('rate_limited', 429);
}

202 Accepted с адресом проверки статуса 429 и по возможности Retry-After 403 Forbidden как постоянный запрет 200 OK с объектом ошибки лимита 503 Service Unavailable с Retry-After

Вопрос 29 из 30

Почему логировать полное тело API опасно?

Риск отсутствует, если журналы не публикуются в открытом интернете Журналирование тела меняет маршрутизацию последующих запросов В нём могут быть пароли, токены и персональные данные Главная проблема в том, что текст тела невозможно прочитать в журнале Системы журналирования не умеют хранить синтаксически корректный JSON

Вопрос 30 из 30

Как выпускать изменение API?

Сначала изменить схему, а документацию и откат подготовить после запуска Отключить request_id, уменьшая объём журналов во время выпуска Контрактные тесты, поэтапный выпуск, метрики и откат Удалить старые контрактные тесты, чтобы они не мешали новому ответу Переключить всех клиентов одновременно и наблюдать только жалобы

Ответьте на все 30 вопросов, чтобы получить результат

🔗 Встроить тест на свой сайт (iframe) ▼

Скопируйте код и вставьте в любое место на вашем сайте:

Также доступна прямая ссылка на embed-страницу