Какие знаешь безопасные запросы?

Безопасные HTTP-запросы в контексте REST API

В контексте тестирования REST API и веб-безопасности, безопасные HTTP-запросы (Safe Methods) — это методы, которые не изменяют состояние ресурса на сервере. Они предназначены только для получения данных и не должны иметь побочных эффектов (side effects). Это ключевое понятие при проектировании и тестировании RESTful сервисов.

Основные безопасные методы HTTP

Согласно спецификации HTTP/1.1 (RFC 7231), к безопасным методам относятся:

• GET — используется для чтения или получения данных с сервера. Он должен быть идемпотентным и безопасным. Повторные идентичные запросы GET должны возвращать один и тот же ответ (с учетом кэширования).
• HEAD — идентичен GET, но сервер возвращает только заголовки ответа без тела. Используется для проверки существования ресурса, получения метаданных (например, Content-Type, Last-Modified) без загрузки самого контента.
• OPTIONS — используется для определения доступных методов HTTP для целевого ресурса (например, GET, POST, PUT). Часто применяется в механизме CORS (Cross-Origin Resource Sharing).

Почему эти методы считаются безопасными?

Их безопасность определяется следующими гарантиями:

• Отсутствие модификации данных: Сервер не должен вносить изменения в состояние приложения, базы данных или файловой системы в результате обработки этих запросов.
• Идемпотентность: Многократное выполнение одного и того же запроса дает идентичный результат (как и первый вызов).
• Кэшируемость: Ответы на эти запросы могут и должны кэшироваться на различных уровнях (браузер, прокси-сервер, CDN) для повышения производительности.

Примеры безопасных запросов в тестах (Python, pytest + requests)

import requests
import pytest

BASE_URL = "https://api.example.com/v1"

def test_safe_get_request():
    """GET запрос для получения списка пользователей."""
    response = requests.get(f"{BASE_URL}/users")
    assert response.status_code == 200
    # Проверяем, что ответ в формате JSON и содержит массив
    data = response.json()
    assert isinstance(data, list)
    # Убеждаемся, что запрос не должен ничего изменять (проверка постусловия)
    # Например, сравниваем количество записей до и после (если бы мы его сохранили).

def test_safe_head_request():
    """HEAD запрос для проверки заголовков ресурса."""
    resource_id = 123
    response = requests.head(f"{BASE_URL}/users/{resource_id}")
    # HEAD не возвращает тело, только заголовки
    assert response.status_code in [200, 404]
    if response.status_code == 200:
        assert 'Content-Type' in response.headers
        assert 'application/json' in response.headers['Content-Type']
        # Тело ответа должно быть пустым
        assert not response.content

def test_safe_options_request():
    """OPTIONS запрос для определения поддерживаемых методов."""
    response = requests.options(f"{BASE_URL}/users")
    assert response.status_code == 200
    # Сервер должен вернуть заголовок Allow или Access-Control-Allow-Methods (для CORS)
    allowed_methods = response.headers.get('Allow', '')
    # Проверяем, что безопасные методы присутствуют
    assert 'GET' in allowed_methods
    assert 'HEAD' in allowed_methods
    assert 'OPTIONS' in allowed_methods

Важные нюансы для QA Automation инженера

• Безопасность метода — это договоренность, а не принуждение. Некорректная реализация сервера может нарушать эту спецификацию. Задача автотестов — выявлять такие нарушения. Например, если GET /users/delete/1 фактически удаляет пользователя, это серьезная уязвимость.
• Логирование и аналитика. Даже безопасные запросы могут логироваться или влиять на счетчики просмотров. Это не считается изменением состояния основных бизнес-данных.
• Небезопасные методы — это POST (создание), PUT (полное обновление), PATCH (частичное обновление), DELETE (удаление). Они изменяют состояние ресурса.
• Тестирование идемпотентности: Для безопасных методов это тривиально — несколько вызовов подряд должны давать одинаковый результат. Для небезопасных методов идемпотентность гарантируется только для PUT и DELETE (а также GET, HEAD, OPTIONS).
• Влияние на безопасность: Понимание этой классификации критично для тестирования безопасности API. Сканеры безопасности часто проверяют, не приводит ли вызов GET к неожиданным изменениям (например, CSRF-атака через GET-запрос).

Практическое применение в автоматизации

1. Проектирование тестов: Тесты, использующие только безопасные методы, часто можно выполнять чаще и без специальной подготовки данных, так как они не "засоряют" систему.
2. Параллельный запуск: Тесты, основанные на безопасных запросах, обычно лучше подходят для параллельного выполнения, так как не конфликтуют за изменение общих ресурсов.
3. Проверка кэширования: Можно писать тесты, которые проверяют заголовки кэширования (Cache-Control, ETag, Last-Modified) в ответах на GET и HEAD запросы.
4. Интеграция с CORS: При тестировании веб-приложений важно проверять, что ответы на безопасные запросы (особенно отличные от GET и POST) содержат правильные заголовки Access-Control-Allow-Methods.

Таким образом, для QA Automation инженера глубокое понимание семантики HTTP-методов — это основа для написания корректных, эффективных и надежных автотестов API, а также для участия в проектировании тестирования безопасности веб-приложений.