Как происходит передача данных в POST?

Как происходит передача данных в POST запросе

Теория HTTP POST необходима BA для понимания того, как работают интеграции и API, какие ограничения есть на объём данных, как происходит аутентификация. Вот мой разбор:

1. Основная разница GET vs POST

GET:

• Данные передаются в URL (query parameters)
• Видны в address bar
• Кэшируются браузером
• Ограничение: около 2000 символов в URL
• Используются для получения данных

POST:

• Данные передаются в теле запроса (body)
• Не видны в URL
• Обычно не кэшируются
• Нет практического ограничения на размер
• Используются для создания/изменения данных

2. Структура HTTP POST запроса

Request строка:

POST /api/v1/orders HTTP/1.1

Headers (метаданные):

• Host: api.shop.com
• Content-Type: application/json
• Content-Length: 245
• Authorization: Bearer token123
• X-Request-ID: 123e4567
• Accept: application/json

Body (данные): JSON объект с параметрами запроса

3. Content-Type: application/json

Это говорит серверу: "данные отправлены в формате JSON"

Процесс на сервере:

1. Браузер отправляет запрос с данными в body
2. Сервер видит Content-Type и знает, как парсить
3. Сервер десериализует JSON
4. Валидирует данные
5. Обрабатывает (сохраняет в БД, вызывает интеграции)
6. Возвращает ответ

4. Альтернативные Content-Type

application/x-www-form-urlencoded

• Старый формат, как в HTML формах
• Данные как: username=john&password=secret123

multipart/form-data

• Для загрузки файлов
• Позволяет отправлять бинарные данные

application/xml

• Для XML API
• Альтернатива JSON

5. Жизненный цикл POST запроса

Шаг 1: Клиент подготавливает запрос

• Берет данные (объект, массив)
• Сериализует в JSON
• Добавляет headers

Шаг 2: Отправка по сети

• TCP соединение
• TLS шифрование (если HTTPS)
• Передача пакетов до сервера

Шаг 3: Сервер получает и парсит

• Читает headers
• Парсит body в зависимости от Content-Type
• Валидирует данные
• Обрабатывает запрос

Шаг 4: Ответ

• Сервер возвращает результат (201 Created, 200 OK, 400 Bad Request)
• Клиент получает и обрабатывает

6. Важные HTTP коды ответов

2xx Success:

• 200 OK
• 201 Created
• 202 Accepted
• 204 No Content

4xx Client Error:

• 400 Bad Request
• 401 Unauthorized
• 403 Forbidden
• 404 Not Found
• 422 Unprocessable Entity

5xx Server Error:

• 500 Internal Server Error
• 503 Service Unavailable

7. Ограничения POST

Практически:

• nginx: 1MB по умолчанию
• Apache: 2GB (но на практике меньше)
• AWS ALB: 1MB
• Облака: обычно 10-100MB

Что это значит для BA:

• Большие файлы требуют chunked upload
• Много данных может потребовать batch API
• Нужно согласовать лимиты с инженерами

8. Безопасность

Всегда HTTPS, не HTTP

• Шифрует данные в пути
• Предотвращает перехват паролей

Authentication методы:

• Bearer token (JWT)
• Basic auth (base64)
• API Key

Валидация на сервере:

• Никогда не доверять клиентским данным
• Всегда валидировать type, length, format
• Защита от SQL injection, XSS

9. Идемпотентность (Idempotency Key)

Проблема: если запрос потеряется и отправится дважды?

Решение: Idempotency-Key

• Клиент отправляет уникальный ключ
• Сервер сохраняет этот ключ
• При повторном запросе: видит уже использованный ключ
• Возвращает старый ответ (не дублирует операцию)

Это предотвращает двойное создание заказов или платежей.

10. Инструменты для тестирования

cURL:

• Командная строка инструмент
• Идеально для скриптов и автоматизации

Postman:

• GUI инструмент
• Удобно для прототипирования
• Сохраняет истории запросов

API Documentation (Swagger/OpenAPI):

• Interactive документация
• Можно тестировать прямо из браузера

11. Практический пример: платёжная интеграция

BA проектирует интеграцию с Yandex.Kassa

Нужно знать:

• Какие поля обязательные
• Какой формат денег (целое число копеек или decimal)
• Какие ошибки может вернуть (fraud detection, insufficient funds)
• Есть ли retry logic (Idempotency-Key)
• Какой timeout (обычно 30 сек)
• Какой webhook отправит результат

12. Чек-лист для BA при проектировании POST API

Данные:

• Какой Content-Type?
• Какие поля? Обязательные/опциональные?
• Какой формат данных? (строки, числа, даты, boolean)
• Какие ограничения размера?

Безопасность:

• Как аутентифицировать? (token/key/basic)
• Какие права доступа? (authorization)
• Нужна ли Idempotency-Key?
• Логирование и аудит?

Обработка:

• Какие ошибки может вернуть?
• Timeout и retry policy?
• Асинхронная обработка или синхронная?
• Нужны ли webhooks?

Документация:

• Примеры запросов/ответов
• Описание ошибок
• SLA и производительность

Итог

Понимание POST критично для:

• Проектирования интеграций
• Дизайна API
• Обеспечения безопасности
• Предотвращения проблем с дублированием
• Настройки лимитов и timeouts

BA должен знать достаточно, чтобы общаться с разработчиками, писать требования и проверять, что всё работает правильно.