全栈基础
3.0 什么是 API？后端是为了什么？
API 是 Application Programming Interface（应用程序编程接口）。它规定一段软件如何请求另一段软件的能力，以及对方会如何回应。 API 的关键不是“联网”，而是接口契约：
返回标签
#Web
8 篇文章，按发布时间排列。
全栈基础
3.1 HTTP
HTTP（Hypertext Transfer Protocol）是 Web 的应用层协议。它规定客户端和服务器如何组织、发送和解释一条条消息。 客户端不一定是浏览器，也可以是手机应用、命令行工具或另一台服务器。服务器也不一定是一台物理
全栈基础
3.2 后端框架做了哪些事？
假设我们只拿到操作系统提供的网络 socket。为了做一个可用的 Web API，至少需要自己处理： 这些工作并非每个项目的独特价值。后端框架把反复出现的基础设施问题整理成统一生命周期、扩展点和默认约定，让开发者聚焦业务规则。
全栈基础
3.4 身份认证与权限控制
登录成功只是建立身份上下文，授权仍要在每次受保护操作中判断。 授权策略不应只有 isAdmin 一个布尔值。真实规则可能与组织、租户、资源所有者、成员关系、数据敏感级别、时间和审批状态有关。
全栈基础
3.5 Cookie、Session、JWT 与 OAuth
Cookie 可以携带 Session ID，也可以携带其他偏好；Session ID 是 token，但不必是 JWT；JWT 可以放 Cookie，也可以放 Authorization 头；OAuth access token 也不
全栈基础
3.6 Web 安全基础
工程安全的目标是：在明确成本和场景下，降低攻击成功概率、限制影响范围、尽快发现问题并能够恢复。 安全措施也可能冲突：详细日志有助调查，却可能泄露隐私；更严格验证提高安全，却可能让账户恢复困难。需要明确取舍，而不是堆叠口号。
全栈基础
3.7 WebSocket、SSE 与实时通信
“实时”不是毫秒越小越好，而是业务能接受的最大延迟： 长连接会增加服务器连接数、状态、部署和恢复复杂度。如果每分钟更新一次，5～15 秒轮询可能比维护 WebSocket 更可靠、更便宜。