Secure Backend Routing & RESTful API Standards

"The Server-Side Mental Model assumes the client is untrustworthy" — frontend คือหน้าร้านที่ช่วยผู้ใช้ ส่วน backend คือห้องนิรภัยที่ไม่เชื่อใครทั้งนั้น

Server-Side Mental Model

หลักการ REST

REST (Representational State Transfer) = รูปแบบสถาปัตยกรรมมาตรฐานสำหรับ web service ที่สื่อสารแบบ stateless ผ่าน HTTP/HTTPS

การตั้งชื่อ endpoint — ข้อสอบถามแน่

Statelessness

ฝั่ง frontend ตัวแปรอยู่ในหน่วยความจำตราบที่หน้ายังเปิด แต่ฝั่ง backend server ลืมทุกอย่างทันทีที่ส่ง response เสร็จ

Express Routing

const express = require('express');
const app = express();

app.use(express.json());                    // middleware ต้องมาก่อน routes

app.get('/api/products', (req, res) => {
    res.status(200).json(products);
});

app.get('/api/products/:id', (req, res) => {
    const item = products.find(p => p.id == req.params.id);
    if (!item) {
        return res.status(404).json({ error: 'Product not found' });
    }
    res.status(200).json(item);
});

app.listen(3000, () => console.log('Server running on port 3000'));

Middleware & express.json()

• เรียกว่า middleware เพราะอยู่ "ตรงกลาง" ของเส้นทาง request
• ต้องประกาศ ก่อน routes เสมอ ไม่งั้นข้อมูลยังไม่ถูกแกะตอน route ทำงาน
• ทำงานเมื่อเห็น header Content-Type: application/json

3 เฟสของ Body Parsing

app.post('/api/checkout', (req, res) => {
    console.log(req.body);
    // { productId: 101, quantity: 2, price: 50 }
    const total = req.body.quantity * req.body.price;
});

Validation & RegEx ฝั่ง server

RegEx ไม่ได้ใช้เพื่อความสวยงามของ UI แต่ใช้เป็น logical firewall รักษาความถูกต้องของข้อมูล

// อีเมล
const emailRegex = /^[^\s@]+@[^\s@]+\.[^\s@]+$/;
if (!emailRegex.test(req.body.email)) {
    return res.status(400).json({ error: 'Invalid email format' });
}

// เลขบัตร 16 หลัก
const cardRegex = /^[0-9]{16}$/;

// รหัสผ่าน: อย่างน้อย 8 ตัว มีตัวใหญ่ 1 ตัว และอักขระพิเศษ 1 ตัว
const passRegex = /^(?=.*[A-Z])(?=.*[!@#$%^&*]).{8,}$/;

3 ชั้นของ Gatekeeper

CORS

เมื่อ frontend (origin หนึ่ง) เรียก backend (อีก origin) เบราว์เซอร์จะบล็อกไว้ก่อน

const cors = require('cors');
app.use(cors({ origin: 'https://myshop.example.com' }));

Contract Table