2.kolokvij Flashcards

Question

Varni piškotki - secure

Answer 1

 Omogoča zaupnost pred napadalci  Brskalnik bo vrnil piškotek samo preko HTTPS  … ampak brez celovitosti  Možno spremeniti varne piškotke preko HTTP  napadalec lahko spremeni varne piškotke  lahko prijavi uporabnika v napadalčev račun

Answer 2

 Piškotek poslan preko HTTP(s), vendar ni dostopen prek skript.  ga ni mogoče brati preko document.cookie  Pomaga preprečiti krajo piškotkov preko XSS  … vendar ne prepreči groženj večine ostalih XSS hroščev

Answer 3

 Zaporedje zahtev in odgovorov iz enega brskalnika na eno (ali več) spletnih mest  Seja je lahko dolga (npr. Gmail) ali kratka  brez upravljanja (sej): uporabniki bi se morali nenehno ponovno overjati  Upravljanje seje: enkrat se pooblasti uporabnika;  Vse nadaljnje zahteve so vezane na overjenega uporabnika

Answer 4

 veliko možnosti (vendar nobena ni popolna) Brskalniški piškotek: Set-Cookie: SessionToken=fduhye63sfdb Vgraditi v vse URL povezave: https://stran.com/checkout ? SessionToken=kh7y3b V skritih poljih obrazcev:

Answer 5

 CSRF (Cross-Site Request Forgery) je vrsta spletnega napada, pri katerem napadalec izkoristi zaupanje, ki ga ima spletna aplikacija v brskalnik uporabnika. Napadalec lahko uporabnika prisili, da izvede nezaželene akcije na spletni strani, na katero je prijavljen, brez njegovega vedenja.  Na primer, če je uporabnik prijavljen v svojo spletno banko, lahko napadalec izvede transakcijo v njegovem imenu, če uporabnik obišče zlonamerno spletno stran. To se zgodi, ker brskalnik samodejno pošlje piškotke za preverjanje pristnosti, ne glede na to, od kod prihaja zahteva.  Za zaščito pred CSRF napadi se pogosto uporabljajo naslednje metode:  CSRF žetoni: Vsaka zahteva vključuje edinstven žeton, ki ga preveri strežnik.  Preverjanje refererja: Strežnik preveri, ali zahteva prihaja iz pričakovane strani.  SameSite piškotki: Piškotki so nastavljeni tako, da se pošiljajo samo, če zahteva prihaja iz iste domene.

Answer 6

Referer razkrije URL sejni žeton tretjim osebam Preprečevanje referera:  Ni poslan, ko se stran HTTPS nanaša na HTTP stran  v HTML5:

Answer 7

 Spletna mesta morajo zagotavljati funkcijo odjave:  Funkcionalnost: dovoli uporabniku, da se prijavi kot drug uporabnik  Varnost: preprečite drugim zlorabo računa  Kaj se zgodi med odjavo:  1. izbriše se sejni žeton (SessionToken) (na odjemalcu)  2. sejni žeton se označi kot pretekel (na strežniku)  Težava: številna spletna mesta izvedejo (1), ne pa tudi (2) !! ⇒ Še posebej tvegano za spletna mesta, ki uporabljajo HTTP po prijavi (in ne HTTPS)  Kaj če uporabnik sumi, da je njegova naprava ogrožena?  Prijava iz „sumljivega“ računalnika  Okužba z zlonamerno programsko opremo  Spletno mesto mora prikazati vse naprave, ki so trenutno prijavljene v uporabniški račun  Dovolimo uporabniku, da odstrani katerokoli neprepoznano napravo ⇒ označimo odstranjen sejni žeton kot pretečen (na strežniku)

Answer 8

 Sistem mora preveriti gesla, ki jih podajo uporabniki  Torej mora ta biti nekje shranjena  Osnovni način shranjevaje: izvorna oblika Težava: kraja gesla  Napadalci pogosto kompromitirajo sisteme (npr. vdor)  Datoteko z gesli je morda mogoče ukrasti  Linux: /etc/shadow  Windows: c:\windows\system32\config\sam  Kaj se zgodi, če so gesla shranjena kot besedilo?  Napadalec se lahko zdaj prijavi kot katerikoli uporabnik, vključno s skrbnikom (root ali adminstrator)  Gesla nikoli ne smejo biti shranjena v navadnem besedilu

Answer 9

 Ključna ideja: shranite zavarovane različice gesel  Uporabite kriptografske zgoščevalne funkcije  Primeri:  MD5 (128-bitna zgoščevalna funkcija) -> 32 znakov -> že razbita koda (pridobljena izvirna gesla)  Sha-1 (160-bitna zgoščevalna funkcija) -> 40 znakov -> že razbita koda (pridobljena izvirna gesla)  Sha256 (256-bitna zgoščevalna funkcija) -> 64 znakov  Sha512 (512-bitna zgoščevalna funkcija) -> 128 znakov

Answer 10

 Ali so zgoščena gesla zavarovana pred razkritjem in hackanjem?  Ne!  Težava: uporabniki izbirajo slaba gesla  Najbolj pogosta so: 123456, password  Upor. ime: cbw, geslo: cbw  Slaba gesla omogočajo napade s slovarjem (ang. dictionary attacks)

Answer 11

 Izvorna oblika ne  Šifrirana ne  Zgoščena  Sol / poper in zgostitev  Namenske zgoščevalne funkcije  PBKDF  bcrypt  Scrypt  Argon2

Answer 12

 Ključna težava: kriptografske zgoščevalne funkcije so deterministične  hash(‘p4ssw0rd’) = hash(‘p4ssw0rd’)  To omogoča napadalcu, da si ustvari seznam zgoščenih vrednosti (gesel)  Rešitev: vsako zgoščeno geslo je potrebno narediti unikatno  Dodajmo „sol“ k vsakemu geslu pred zgostitvijo  hash(salt + password) = password hash  Vsak uporabnik ima unikatno in naključno sol  Sol je mogoče shranjevati v izvorni obliki

Answer 13

 Shranjena gesla naj bodo vedno soljena  Prisili napadalca, da uporabi tehniko surove sile na vsakem individualnem geslu  Težava: dandanes je mogoče kriptografske zgoščevalne vrednosti izračunavati zelo hitro  Optimizacija s pomočjo GPU-jev: veliko majhnih procesorskih jeder  nVidia GeForce GTX Titan Z: 5,760 jeder  GPU-je je mogoče najeti v oblačnih storitvah zelo poceni  2x GPU-ja za $0.65 na uro (cena iz leta 2014)

Answer 14

 Težava: tipične zgoščevalne funkcije se izvajajo prehitro  Omogoča uporabo GPU-jev za napad s surovo silo  Rešitev: uporaba namenskih zgoščevalnih funkcij, ki se izvajajo počasi  Primeri: bcrypt, scrypt, PBKDF2, Argon2  Ti algoritmi vključujejo “delovni faktor (ang. Work factor)“, ki zveča kompleksnost izračuna  scrypt tudi zahteva velike količine pomnilnika v izračunih, kar še dodatno otežuje napad s surovo silo

Answer 15

 Kompleksnost spletni strani, storitev in aplikacij  Veliko možnosti napak (hroščev)  Človeški faktor (socialno inženirstvo)  Pogost motivator je denar  Črni trg ranljivosti  Črni trg prevzetih naprav in ukradenih podatkov -> veliko možnih načinov zaslužka

Answer 16

 SQL vrivanje je ranljivost dinamične spletne aplikacije, kjer lahko napadalec spremeni SQL stavke v aplikaciji za upravljanje podatkov v podatkovni bazi. Napadalec lahko pridobi podatke drugih uporabnikov ali druge podatke, do katerih ima aplikacija dostop. Napadalec lahko tudi izbriše ali spremeni podatke.

Answer 17

 Nikoli ne zaupamo uporabniškem vnosu (zlasti pri ukazih)  Nikoli ročno ne gradite ukazov SQL sami!  Obstajajo orodja za varno posredovanje uporabnikovih vnosov v PB:  Parametriziran (AKA pripravljen) SQL (prepared statements)  ORM (Object Relational Mapper) -> uporablja pred-pripravljeni SQL interno

Answer 18

 Parametriziran SQL omogoča ločeno pošiljanje poizvedb in argumentov strežniku – PHP POD $stmt = $db->prepare("INSERT INTO knjige(avtor, naslov) VALUES (:avtor, :naslov)"); $stmt->bindParam(':avtor', $avtor); $stmt->bindParam(':naslov', $naslov); $stmt->execute();  Prednost 1: Ni potrebe, da bi filtrirali nezaupne podatke - strežnik sam poskrbi za to  Prednost 2: Parametrizirane poizvedbe so hitrejše, ker strežnik predpomni načrt poizvedb

Answer 19

 Napad se zgodi, ko aplikacija prejme nezaupljive podatke in jih pošlje v spletni brskalnik brez ustreznega preverjanja

Answer 20

 Napadalec lahko vrine skriptno kodo na strani, ki jih ustvari spletna aplikacija.  Dva tipa:  Odsevni XSS (reflected) Napadalčeva skripta se uporabniku prikaže kot del „žrtvene“ spletne strani  Shranjen XSS (stored) Napadalec zlonamerne kodo shrani v vir, ki ga upravlja spletna aplikacija, na primer v PB

Answer 21

 Napadalec pošlje e-mail sporočilo žrtvam (uporabnikom PayPala), v katerem je URL, ki ga gosti legitimna spletna stran PayPal  Vrinjena koda obiskovalca PayPala preusmeri na stran, ki opozarja uporabnike, da so bili njihovi računi kompromitirani  V resnici so bile žrtve preusmerjene na lažno spletno stran in pozvane k vnosu občutljivih finančnih podatkov

Answer 22

 CSP omogoča preprečevanje napadov XSS s pomočjo belih seznamov – seznam zaupanja vrednih virov  Brskalnik bo izvrševal samo skripte iz domen s seznama dovoljenih  ne bo vključil drugih skript (vključno z vgrajenimi skriptami in atributi HTML za obdelavo dogodkov)

Answer 23

Content-Security-Policy: default-src 'self‘  vsebino je mogoče naložiti samo z iste domene kot stran  noben vstavljeni ne bo izveden  noben ne bo izveden

Answer 24

Content-Security-Policy: default-src 'self'; img-src *; script-src cdn.jquery.com  vsebino je mogoče naložiti samo z iste domene kot stran, razen…  slike je mogoče naložiti iz katerega koli izvora  skripte je mogoče naložiti samo s cdn.jquery.com  noben vstavljeni ne bo izveden  noben ne bo izveden

Answer 25

 Omogoča vstavljanje določenih HTML značk  Zelo podoben XSS, ki omogoča tudi zagon JavaScript kode uporabimo htmlentities ki pretvori pretvori ne-html znake in jih potem pretvori nazaj

Answer 26

 Napadalec čaka, da se uporabnik prijavi  nato napadalec ukrade uporabnikov sejni žeton in s tem "ugrabi" sejo ⇒ napadalec lahko v imenu uporabnika izda samovoljne zahteve  Primeri: FireSheep  Firefox extension: ugrabi HTTP sejne žetone preko WiFi-ja  Rešitev: vedno pošiljamo sejne žetone prekop HTTPS

Answer 27

Sejni žetoni morajo biti napadalcu nepredvidljivi Uporabimo ogrodje (npr. ASP, Tomcat, Rails) primer - Rails: žeton = SHA256 (trenutni čas, naključni nonce)

Answer 28

 1. Primer: uporaba HTTP po prijavi preko HTTPS  Omogoča krajo piškotkov (npr. preko WiFi - Firesheep)  Drugi načini, kako lahko mrežni napadalec ukrade žeton:  Stran meša HTTPS/HTTP strani ⇒ žeton se pošlje preko HTTP  Man-in-the-middle napadi na TLS  2. Primer: koriščenje XSS-a  Ojačano s slabimi postopki odjave  Postopek odjave mora razveljaviti žeton na strežniku

Answer 29

 Pazite na dostopne pravice  Dostop do virov -> skrivanje virov  Dostop samo do virov, do katerih nekdo potrebuje dostop  Kako se zavarovati:  Privzeta zavrnitev dostopa (ang. Deny by default)  Ustrezno načrtovanje nadzora dostopa  Npr. uporaba matrike nadzora dostopa  Centraliziran nadzor dostopa  Princip najnižjih privilegijev dostopa (ang. Least privilege)  Penetracijsko testiranje / ročno testiranje

Answer 30

 Ustrezno varovanje podatkov zaradi:  Družbena odgovornost za varovanje občutljivih podatkov  Uporaba enakih poverilnic na več mestih  GDPR-ja  Finančni podatki, osebni podatki, zdravstveni podatki, poverilnice,…  Kako se zavarovati:  Ne shranjujte podatkov, ki jih ne potrebujete  Ustrezno šifriranje (TLS)  Med prenosom  Med hrambo  Podatke razvrstite glede na pomembnost / občutljivost

Answer 31

 Zelo pogosta napaka / ranljivost  Nepopolna / nepravilna implementacija kontrol  Ponovno problem privzetih gesel  Nepravilne nastavitve dovoljenj  Izpisi vsebine imenikov (ang. directory listing)  Nastavitvene / namestitvene strani  Kako se zavarovati:  Ročno testiranje  Nameščanje / vključevanje nujnih komponent  Bodite pazljivi pri oblačnih storitvah

Answer 32

 Kako se zavarovati:  Seznam uporabljenih komponent  Uporaba preverjenih komponent iz preverjenih virov  Onemogočanje nepotrebnih možnosti  Spremljanje seznam obveščanja o ranljivostih  Princip: Plan – Patch – Config

Answer 33

 Nezadostno overjanje in pomanjkljivo upravljanje sej  Slaba ali pomanjkljivo upravljanje z gesli (password policy)  Tudi privzeta gesla  Kako se zavarovati:  Uporaba več-faznega overjanja  Ustrezna politika gesel – morda odprava?  Ustrezno upravljanje prijav  Npr. preprečitev prijave pri preveliki količini napačnih prijavnih podatkov  Upravljanje sej na strežniški strani  Ustrezen čas poteka prijave (ang. timeout)

Answer 34

 Beleženje – dnevniki, dogajanje  Spremljanje (monitoring) – preverjanje dnevnikov  Zakaj beležiti?  V letu 2017 je bil povprečen čas med varnostnim incidentom in časom zavedanja, da se je nekaj zgodilo 6 mesecev  Vsaj vedeti moramo, da se je nekaj zgodilo

Answer 35

 Ko se zgodi kaj pomembnega – definicija praga  Napake pri prijavi  Brisanje podatkov  Sprememba gesel  …

Answer 36

 odstranjevanje nepotrebnih znakov (presledki, enter, tabulatorji,...) trim($podatki);  odstranjevanje poševnic (backslashes) iz vnosa stripslashes($data);  odstranjevanje HTML oznak iz vnosa htmlspecialchars($data);  odstranjevanje posebnih (potencialno nevarnih) znakov iz vnosa (\x00, \n, \r, \, ', " and \x1a) mysql_real_escape_string($data);

Answer 37

 display_errors = On | Off prikaz napak – v produkciji je potrebno prikazovanje napak obvezno onemogočiti  Druge uporabne nastavitve:  max_execution_time = integer  memory_limit = integer  open_basedir = string

Answer 38

 Celostni primer uporabe CRUD:  CREATE  READ  UPDATE  DELETE

Answer 39

 Preprost večjezični forum  Zapisane besede v več jezikih  Implementiran izključno v PHP-ju  Omogoča tudi:  Objavo novih tematik  Odgovor na tematike  Prijavo uporabnika  Registracijo uporabnika  Osnovne varnostne nastavitve

Answer 40

 Regularni izraz je zaporedje znakov, ki določa vzorec ujemanja v besedilu.  https://regex101.com/  preverjanje, če smo napisali pravi regex  Email: /^[\w\-\.]+@([\w-]+\.)+[\w-]{2,4}$/  \w – besedni znaki (a-zA-Z0-9_)  \W – nebesedni znaki  \d – je števka (0-9)  \D – ni števka  \s – presledek (\n\r\t\f)  \S – ni presledka

Answer 41

 PHPMailer je knjižnica za varno in enostavno pošiljanje e-pošte prek kode PHP iz spletnega strežnika. Za pošiljanje potrebujemo SMTP protokol.

Answer 42

 Preprosta spletna rešitev za nakup slik  Implementiran izključno v PHP-ju  Omogoča tudi:  Ogled slik  Dodajanje slik v košarico  Dodajanje slik v trgovino

Answer 43

 Instalacija GD knjižnice za kreiranje slik v PHP:  https://www.geeksforgeeks.org/how-to-install-php-gd-in-windows/  V PHPInfo preverimo, če že obstaja “GD”  Če ne obstaja, v XAMPP -> Config -> php.ini odstranimo podpičje pri ;extension=gd.  Nato kopiramo iz xampp folderja (običajno ext) datoteko php_gd.dll v C:\Windows\System32  Restartamo XAMPP  Instalacija COMPOSERja  https://getcomposer.org/download/  Composer je orodje za upravljanje odvisnosti v PHP. Omogoča, da knjižnice, ki jih potrebujemo za projekt, deklarira (namesti/posodobi).  Ob instalaciji morate najti php.exe (običajno v xampp/php)

Answer 44

 jQuery je JavaScript knjižnica po principu “piši manj, naredi več”  Razvita je bila za hitrejši razvoj spletnih strani  JS: document.getElementById  jQuery: $("#id")  $ je bližnjica za dostop do jQuery

Answer 45

 Sinhrona komunikacija: uporabnik mora počakati, da se naloži nova stran  Tipičen vzorec komunikacija (click, wait, refresh)

Answer 46

 Ajax model spletne aplikacije:  Rezultati spreminjajo AJAX zahteve spremenijo le del spletne strani  JavaScript - podatki, formatiranje in oblikovanje

Answer 47

 Prednosti:  Boljša interaktivnost / odzivnost  Uporabniško bolj prijazna spletna stran  Manjša količina povezav do splet. Strežnika  Manjša poraba pasovne širine – selektivno nalaganje  Slabosti:  Neuporabnost gumbov „refresh“ in „back“  Onemogočeni zaznamki (bookmarking)  Obvezna uporaba JavaScripta  Zamik omrežja lahko vpliva na uporabnost

Answer 48

 Autocomplete – iskalniki  Uporaba v specifičnih aplikacij (npr. hipno sporočanje)  Posodabljanje v realnem času (npr. športni rezultati)  Hipna validacija obrazcev  Samodejno shranjevanje uporabniških podatkov

Answer 49

 JavaScript  Klic funkcije, ki je posledica dogodka  Uporabimo lahko tudi jQuery knjižnico, ki običajno skrajša kodo  DOM  API za dostop do elementov HTML dokumenta (lahko dinamično spremenimo izgled spletne strani)  CSS  Uporaba za spreminjanje izgleda strani  XMLHttpRequest  JavaScript objekt za asinhrono interakcijo s strežnikom

Answer 50

 Na voljo od leta 2000 (IE 5.5)  API, ki ga lahko uporabi JavaScript, JScript, VBScript, …  Prenos in manipulacija podatkov v določenem formatu (npr XML) in prenos na ali iz strani spletne strežnika s pomočjo protokola HTTP  Vzpostavi povezave med odjemalcev in strežnikom  Uporabimo lahko tudi druge formate razen XML, npr. JSON ali celo gole tekstualne podatke  Izvede naslednje operacije:  Pošilja podatke s strani odjemalca (v ozadju)  Prejema podatke s strani strežnika  Posodobi spletni stran brez ponovnega nalaganja

Answer 51

 Uporaba AJAXa (Asynchronous JavaScript and XML) je enostavnejša z APIjem jQuery, ki deluje na več brskalnikih  jQuery ponuja več metod za podporo Ajax funkcionalnostim.  Ajax (Asynchronous JavaScript and XML) je namenjen nalaganju podatkov v ozadju in prikazu le-teh na spletni strani, brez ponovnega nalaganja strani.  Podpora Ajaxu brez jQuery knjižnice je lahko težavna zaradi nekompatibilnosti med brskalniki

Answer 52

 Pomembnejše metode: https://www.w3schools.com/jquery/jquery_ref_ajax.asp  get – pridobi podatke iz strežnika (get zahtevek),  post – pridobi podatke iz strežnika (post zahtevek),  load – pridobi podatke iz strežnika in jih prikaže v HTML elementu,  getJSON – pridobi podatke iz strežnika v JSON format  ajax – izvede asinhrono AJAX zahtevo (krovna and ostalimi)

Answer 53

 Pomembnejši parametri:  url – naslov spletne storitve (default: trenutna stran)  method – HTTP metoda za zahtevo (POST, GET, PUT,…)  (default: GET)  type – alias za method, uporablja se pri jQuery <1.9.0  data – podatki, ki jih pošiljamo na strežnik  dataType – tip podatkov, ki jih pričakujemo od strežnika  (default: samodejno ugotavljanje (xml, json, script ali html))  success – callback funkcija, ki se izvede ob uspešni zahtevi  error – callback funkcija, ki se izvede ob neuspešni zahtevi  xhr – vsebuje XMLHttpRequest objekt

Answer 54

 Osnovna oblika Ajax klica: metoda $.ajax()  Vse jQuery AJAX metode jo uporabljajo. To uporabimo, ko ne moremo uporabiti drugih metod.  Metoda $(…).load(url, data, data/status/xhr)  Izberemo selektor, v katerem se bo prikazala vsebina prejete datoteke  Metoda $.get(url, data, data/status/xhr, datatype)  pridobi podatke iz strežnika (get zahtevek)  Metoda $.post(url, data, data/status/xhr, datatype)  pridobi podatke iz strežnika (post zahtevek)  Metoda $.getJSON(url, data, data/status/xhr)  Pridobi JSON podatke iz strežnika s pomočjo HTTP GET zahteve

Answer 55

 API / aplikacijski programski vmesnik je način medsebojnega komuniciranja dveh ali več računalniških programov.  Spletni vmesnik je za ljudi, API je za računalnike.  Primer:  Google Maps API, ki omogoča aplikacijam, da vključujejo zemljevide in navigacijo v svoje aplikacije.  Random User:  https://randomuser.me/: generira naključnega uporabniku  https://randomuser.me/api: v golem tekstu dobimo podatke o naključnem uporabniku

Answer 56

 JSON (JavaScript Object Notation) je format za izmenjavo podatkov.  Ljudje ga lahko enostavno berejo in pišejo. Računalniki ga zlahka razčlenijo in ustvarijo.  JSON je besedilni format, ki je popolnoma neodvisen od jezika, vendar uporablja konvencije, ki jih poznajo programerji jezikov družine C, vključno s C, C++, C#, Java, JavaScript, Perl, Python in številni drugi.  Zaradi teh lastnosti je JSON idealen jezik za izmenjavo podatkov.  Je zapisan v obliki ključ-vrednost parov.

Answer 57

 Knjižnica https://randomuser.me/api - izpis naključnega izmišljenega uporabnika  file_get_contents: https://www.php.net/manual/en/function.file-getcontents.php  Pridobitev podatkov, vendar je pogosteje uporabljen cURL  json_decode pretvori niz v PHP vrednosti: https://www.php.net/manual/en/function.json-decode.php  Knjižnica https://api.agify.io – izračun starosti uporabnika

Answer 58

 Primer: uporabljamo aplikacijo za rezervacijo predstave  ta aplikacija očitno potrebuje veliko vhodnih podatkov, saj podatki v aplikaciji nikoli niso statični  bodisi gre za filme, ki pogosto izidejo, bodisi za različna mesta, kjer ob različnih urah dneva predvajajo filme v različnih jezikih  podatki v teh aplikacijah se vedno spreminjajo  Od kod dobimo podatke?  prejmemo jih od (spletnega) strežnika  Odjemalec torej od strežnika zahteva podatke, nato pa strežnik odjemalcu pošlje odgovor  V tem primeru je odgovor, poslan odjemalcu, v obliki spletne strani HTML

Answer 59

 Ko pošljemo zahtevo, bi raje videli, da se podatki vrnejo v strukturirani obliki in ne kot celotne spletne strani (HTML)  Zato bi želeli podatke, ki jih strežnik vrne kot odgovor na zahtevo odjemalca, v obliki JSON ali XML  -> oba formata imata ustrezno hierarhično strukturo podatkov  Težava, ki je do zdaj prisotna v tem okviru je, da moramo za pridobitev zahtevanih podatkov uporabiti veliko metod, uporaba teh metod za pridobivanje podatkov pa postane precej okorna, ko so podatki kompleksni.  REST naslavlja problem “pomanjkanja standarda”. Vmesnik REST poudarja enotne vmesnike, neodvisno uvajanje komponent, skalabilnost interakcij med njimi.  Zato uporabimo t.i. vmesnik REST API, ki ustvari objekt in nato odjemalcu v odgovor pošlje vrednosti objekta

Answer 60

 REpresentational State Transfer (prenos predstavitvenega stanja)  REST je arhitekturna zasnova za spletne storitve, ki temelji na HTTP protokolu.  Uporablja se lahko z različnimi programskimi jeziki.  Dva ključna pojma:  Odjemalec (client) - odjemalec je (oseba) programska oprema, ki uporablja API  Vir (resource) - vir je lahko kateri koli predmet, o katerem lahko API zagotovi informacije

Answer 61

 HTTP metode:  GET – prejme podatke iz določenega vira  POST – pošlje podatke, ki so obravnavani na določenem viru  PUT – posodobi vir  DELETE – izbriše vir  Metode uporabljajo operacije CRUD  ustvarimo vir (CREATE)  preberemo vir (READ)  posodobimo vir (UPDATE)  izbrišemo vir (DELETE)  POST in GET metode smo že uporabljali pri HTML formah, za AJAX & REST pa sta dodani še DELETE in PUT

Answer 62

ZAHTEVA: Headers Method URL Body ODGOVOR: Status code Headers Body

Answer 63

 razvijalec pokliče programski vmesnik (API) (npr. Instagram)  pridobi določenega uporabnika (vir)  API bo vrnil stanje tega uporabnika  ime, število objav, ki jih je do zdaj objavil na Instagramu, število njegovih sledilcev in druge podatke  Predstavitev stanja je lahko v obliki JSON in verjetno je za večino API-jev to res tako  Lahko je tudi v obliki XML ali celo HTML  Zbirka projektov z alternativnimi frontendi (YouTube, IMDB,…) – običajno brez oglasov ali ostalih delov – uporabljajo uradni REST API od spletne strani in prikažejo v novem vmesniku: https://github.com/mendel5/alternative-front-ends  https://www.reuters.com/ vs https://neuters.de/  Ni pa nujno, da so REST API zastonj (Reddit, Vreme itd…)

Answer 64

 REST vs RESTful  REST je arhitekturna zasnova za spletne storitve, ki temelji na HTTP protokolu.  RESTful je implementacija REST.  Spletna aplikacija RESTful razkriva podatke o sebi v obliki podatkov o svojih virih  Ter izvajanje aktivnosti na teh virih  Primer: ustvarjanje novih virov (npr. ustvarjanje novega uporabnika) ali spreminjanje obstoječih virov (npr. urejanje objave)  Vendar mora upoštevati vrsto omejitev oz. zahtev – imenujemo jih principi

Answer 65

 Kaj strežnik stori, ko odjemalec pokliče enega od njegovih API-jev, pa je odvisno od dveh stvari, ki jih moramo zagotoviti strežniku: 1. identifikatorja vira  URL za vir, znan tudi kot končna točka 2. operacije, ki jo želi strežnik izvesti na tem viru, v obliki metode HTTP  običajne metode so GET, POST, PUT in DELETE.  Primer: za pridobitev določenega uporabnika Twitterja (X) z uporabo Twitterjevega vmesnika API (RESTful) je potreben naslov URL, ki identificira tega uporabnika, in metoda HTTP GET

Answer 66

 Uporaba PHP in JSON podatkovnega formata z REST API  CRUD operacije  Postman: https://www.postman.com/  Postman je API platforma za gradnjo in uporabo API-jev  Za lokalno generiranje potrebujete Postman Agent-a  Alternativa je tudi cURL ali HTTPie ali ThunderClient za VS Code ali https://hoppscotch.io/

Answer 67

 Da bi bil API primeren za RESTful, mora izpolnjevati 6 zahtev:  enoten vmesnik (ang. uniform interface)  ločitev odjemalca in strežnika (ang. client - server separation)  „brezstanjskost“ (ang. stateless)  večplastnost sistema (ang. layered system)  možnost predpomnjenja (ang. cacheable)  koda na zahtevo (ang. code-on-demand) * ni obvezna zahteva

Answer 68

REST - principi  Rezultat enotnega vmesnika je, da so zahteve različnih odjemalcev videti enako, ne glede na to, ali je odjemalec brskalnik Chrome, operacijski sistem strežnika Linux, skripta Python, aplikacija Android ali karkoli drugega  Ima 4 dele: 1. Identifikacija vira zahteva za strežnik mora vsebovati identifikator vira 2. Manipulacija z viri z uporabo predstavitev odgovor, ki ga strežnik vrne, vsebuje dovolj informacij, da lahko odjemalec spremeni vir 3. Samopisna sporočila  vsaka zahteva vsebuje vse informacije, ki jih strežnik potrebuje za izvedbo zahteve  vsak odgovor, ki ga strežnik vrne, vsebuje vse informacije, ki jih odjemalec potrebuje za razumevanje odgovora 4. Hipermediji kot gonilo stanja aplikacije hiperpovezave ali preprosto povezave, ki jih lahko strežnik vključi v odgovor

Answer 69

REST - principi  Odjemalec in strežnik sta razvita in delujeta neodvisno, interakcija med njima pa poteka le v obliki  zahtevkov, ki jih sproži le odjemalec  odgovorov, ki jih strežnik pošlje odjemalcu le kot odziv na zahtevo  Strežnik samo čaka na zahteve odjemalca  Strežnik sam ne začne pošiljati informacij o stanju nekaterih virov

Answer 70

REST - principi  Pomeni, da si strežnik ne zapomni ničesar o uporabniku, ki uporablja API  Ne spomni se, ali je uporabnik API v preteklosti že poslal zahtevo GET za isti vir, ne spomni se, katere vire je uporabnik API zahteval prej, in tako naprej  Vsaka posamezna zahteva vsebuje vse informacije, ki jih strežnik potrebuje za izvedbo zahteve in vrnitev odgovora, ne glede na druge zahteve istega uporabnika API

Answer 71

REST - principi  Med odjemalcem, ki zahteva predstavitev stanja vira, in strežnikom, ki pošlje odgovor, je lahko vmes več strežnikov  Ti strežniki lahko zagotavljajo varnostno raven, raven predpomnilnika, raven izravnave obremenitve ali druge funkcije  Te plasti ne smejo vplivati na zahtevo ali odgovor  Odjemalcu ni pomembno, koliko plasti, če sploh, je med njim in dejanskim strežnikom, ki odgovarja na zahtevo

Answer 72

REST - principi  To pomeni, da podatki, ki jih pošilja strežnik, vsebujejo informacije o tem, ali jih je mogoče shraniti v predpomnilnik ali ne  Če je podatke mogoče shraniti v predpomnilnik, lahko vsebujejo številko različice  ta omogoča predpomnjenje: ker odjemalec ve, katero različico podatkov že ima (iz prejšnjega odgovora), se lahko izogne temu, da bi vedno znova zahteval iste podatke  Odjemalec mora tudi vedeti, ali je trenutna različica podatkov potekla  v tem primeru bo vedel, da mora strežniku poslati še eno zahtevo, da bi pridobil najnovejše podatke o stanju vira

Answer 73

REST - principi  Ta omejitev ni obvezna - API je lahko RESTful tudi brez zagotavljanja kode na zahtevo  Odjemalec lahko od strežnika zahteva kodo, nato pa bo odgovor strežnika vseboval določeno kodo, običajno v obliki skripte, če je odgovor v obliki HTML  Odjemalec lahko nato to kodo izvede

Answer 74

 Client URL library / cURL:  https://curl.se/  Brezplačna in odprtokodna programska oprema. Uporablja se v ukaznih vrsticah ali skriptah za prenos podatkov.  cURL PHP:  https://www.php.net/manual/en/book.curl.php  PHP podpira knjižnico libcurl, ki omogoča povezovanje in komunikacijo z različnimi vrstami strežnikov z različnimi vrstami protokolov, npr. http, https, ftp, itd.

2.kolokvij Flashcards

(98 cards)