Nell'era della digitalizzazione, le API (Application Programming Interface) rappresentano il cuore pulsante dell'integrazione tra sistemi, servizi cloud e applicazioni business-critical. La capacità di consumare efficacemente API esterne o interne permette alle aziende di innovare rapidamente, automatizzare processi e creare nuove opportunità di business. Analizziamo cosa significa "consumare un'API" nei linguaggi Python, PHP e JavaScript, e quali sono le librerie e gli strumenti più apprezzati dai professionisti del settore.
Cosa significa "consumare un'API"
Consumare un'API implica il processo di inviare richieste a un servizio web utilizzando protocolli standard (principalmente HTTP/HTTPS) e ricevere dati in risposta, spesso in formato JSON o XML. Questo meccanismo è essenziale per applicazioni che devono comunicare con servizi esterni - ad esempio, integrare pagamenti, recuperare dati da un CRM, automatizzare analisi o monitoraggio.
Perché le API sono fondamentali nel contesto aziendale?
- Evoluzione rapida: Le API permettono di sfruttare servizi di terze parti senza reinventare la ruota.
- Automazione: Automatizzano flussi di lavoro e processi di business.
- Scalabilità: Consentono di ampliare le funzionalità applicative senza modifiche sostanziali ai sistemi esistenti.
Consumo di API in Python
Python è uno dei linguaggi più popolari per l'interazione con API, grazie alla sua semplicità sintattica e alla ricchezza di librerie. L'utilizzo più comune riguarda API RESTful, trasmettendo richieste HTTP (GET, POST, PUT, DELETE, ecc. ).
Librerie Python per API
- Requests: La libreria de facto per invio di richieste HTTP. Offre una sintassi intuitiva e numerose opzioni di personalizzazione, incluso il supporto a autenticazione, sessioni, proxy e timeout.
- httpx: Alternativa moderna a Requests, supporta richieste asincrone e standard HTTP/2.
- aiohttp: Ideale per progetti che richiedono un elevato livello di asincronia e performance nelle chiamate concorrenti.
- urllib3: Un potente gestore HTTP di basso livello, spesso utilizzato internamente da altre librerie.
Esempio Pratico in Python
import requests url = "https://api. example.com/data" response = requests. get(url) if response. status_code == 200: dati = response. json() Questo esempio mostra quanto sia semplice recuperare dati da un'API REST in Python, interpretando la risposta come JSON.
Consumo di API in PHP
PHP, grazie alla sua radicata presenza nel mondo web, è spesso utilizzato per consumare API lato server, ad esempio per integrare servizi in portali o sistemi di gestione.
Librerie e strumenti PHP per API
- cURL: Lo strumento nativo più diffuso per inviare richieste HTTP(s); estremamente flessibile e ampiamente documentato.
- Guzzle: Una delle librerie più avanzate, fornisce una sintassi moderna e un sistema di middleware per gestire autenticazione, logging e retry delle richieste.
- Symfony HttpClient: Component ufficiale Symfony dedicato alle chiamate HTTP, performante e integrabile in progetti enterprise.
Esempio Pratico in PHP con Guzzle
Anche i client API devono gestire i percorsi di negazione.
Una libreria client semplifica le chiamate, ma non decide se un oggetto o un campo può essere letto. Un'operazione GraphQL può coinvolgere diversi resolver e richiedere dati appartenenti ad altri account.
- Testare la query con due identità e scambiare gli ID degli oggetti.
- Verificare le negazioni sui campi nidificati e sulle mutazioni, non solo all'ingresso.
- Mantenere gli errori del client gestibili senza dettagli interni sensibili.
Fonte primaria: OWASP — GraphQL Cheat Sheet. Metodo correlato: consultare la guida pratica.
Client API e rivalidazione.
Punto di revisione aggiuntivo: client API e rivalidazione. Una policy a livello di rappresentazione e test per individuare fughe di dati tra account e contenuti obsoleti dopo le modifiche.
- Ispezionare le chiavi: Verificare il metodo, l'URI e le dimensioni che modificano una rappresentazione. Vary riguarda i campi della richiesta; non si tratta di autorizzazione. Ricercare la lingua omessa, la negoziazione del formato e il contesto dell'account nei livelli applicativi.
- Eseguire la rivalidazione e la modifica: testare risposte nuove e obsolete, aggiornamenti dei dati e diritti revocati. Esaminare ETag, la convalida condizionale e il comportamento in caso di origine non disponibile. Una risposta precedentemente corretta potrebbe diventare sensibile dopo la revoca.
Fonte primaria: IETF — RFC 9111, HTTP Caching. Metodo correlato: consultare la guida pratica.
Prevenzione SSRF negli import URL
Importare un URL può esporre involontariamente risorse interne.
- Decidi origini, porte e protocolli necessari all’importatore. Analizza la URL con una libreria; una corrispondenza testuale nel nome non conferma la destinazione effettiva.
- Controlla gli indirizzi risolti e ogni reindirizzamento. Una URL pubblica che termina su un indirizzo privato va rifiutata prima della connessione; limita durata e dimensione della risposta.
- Prova reindirizzamenti, risposte lente e file eccessivi su un server di test. Verifica che una destinazione vietata non riceva connessioni, senza interrogare metadati o reti private reali.
Caso di accettazione riproducibile
Esempio fittizio: questi dati non descrivono clienti o risultati osservati.
Vedi dati del caso
{
"initial_host": "public.example",
"redirect_host": "internal.example",
"resolved_ip": "127.0.0.1",
"network": "isolated-test"
}
Decisione attesa
Il reindirizzamento raggiunge loopback. Blocca il percorso nell’ambiente di prova isolato.
Procedura di verifica
- Elenca destinazioni e reti consentite all’importazione.
- Prova reindirizzamento a loopback in isolamento.
- Conserva destinazione risolta e blocco osservato.
Basta verificare la prima URL?
No. Risoluzione e reindirizzamenti possono cambiare la destinazione; controlla tutta la catena e i vincoli di uscita dalla rete.
Fonte primaria: OWASP — Server Side Request Forgery Prevention. Metodo correlato: consultare la guida pratica.
Privacy della cache condivisa
Una cache condivisa deve separare contenuto pubblico e risposte personali.
- URL, classe pubblica o personale e componente
- Identità, lingua, permessi e chiave effettiva
- Marcatori, header e risultato a cache fredda/calda
- Responsabile, invalidazione e versione verificata
Fonte primaria: IETF — RFC 9111: HTTP Caching. Metodo correlato: consultare la guida pratica.
postMessage: verificare origine, finestra e comando
Definire un contratto per messaggi di iframe o popup che rifiuti mittenti e dati inattesi.
- Elenca origini esatte, riferimento della finestra e tipi utili. Usa targetOrigin preciso per dati sensibili. L’origine comprende protocollo, host e porta; una ricerca di sottostringa nel dominio non valida il mittente.
- Confronta event.origin e, per questa integrazione, event.source con la finestra attesa. Valida schema, valori e stato dell’operazione. Tratta il contenuto come dati, senza eval o inserimento HTML. Un’origine approvata non sostituisce l’autorizzazione lato server.
- Prova dominio simile, porta diversa, altra finestra della stessa origine, campi invalidi e messaggi dopo la chiusura. Rimuovi listener inutili e invalida scambi conclusi. Le risposte usano un’origine già approvata anche dopo la navigazione della finestra.
Caso di accettazione riproducibile
Esempio fittizio: questi dati non descrivono clienti o risultati osservati.
Vedi dati del caso
{
"allowed_origin": "https://widget.example",
"observed_origin": "https://widget.example",
"expected_window": "active_iframe",
"observed_window": "another_window",
"payload_schema_valid": true,
"expected": "reject_without_effect"
}
Decisione attesa
Esempio fittizio: https://widget.example è approvata, ma event.source è un’altra finestra. Il contratto richiede l’iframe attiva: rifiuta senza eseguire comandi.
Fonte primaria: MDN — Window.postMessage. Metodo correlato: consultare la guida pratica.
Archivi ZIP e TAR: estrarre entro limiti di percorso e risorse
Validare percorsi, collegamenti e dati espansi prima di promuovere i file estratti.
- Estrai in una nuova cartella non pubblica con permessi minimi. Rifiuta percorsi assoluti, risalite, link e file speciali inutili. Controlla destinazioni risolte e collisioni secondo il sistema, comprese maiuscole e minuscole. Un prefisso testuale non prova confinamento.
- Imposta limiti per file e totali su byte scritti, voci, profondità, tempo e risorse. Non affidarti solo alla dimensione compressa o dichiarata. Rifiuta archivi annidati inutili; altrimenti condividi un budget globale. Aggiorna libreria e filtri.
- Prova ../, percorso assoluto, link, duplicato e budget superato. Un arresto lascia il lotto non pubblicabile e non sostituisce file esistenti. Valida tipi e contenuti prima della promozione; pulisci la cartella verificando la destinazione.
Caso di accettazione riproducibile
Esempio fittizio: questi dati non descrivono clienti o risultati osservati.
Vedi dati del caso
{
"compressed_mb": 2,
"expanded_mb": 600,
"aggregate_budget_mb": 100,
"first_files_valid": true,
"expected": "stop_on_actual_overrun_and_do_not_promote"
}
Decisione attesa
Esempio fittizio: 2 MB compressi producono 600 MB con budget di 100 MB. Arresta al superamento dei byte scritti e non pubblicare, anche se i primi file sembrano validi.
Python — tarfile extraction filters and further verification
Fonte primaria: Python — tarfile extraction filters and further verification. Metodo correlato: consultare la guida pratica.
GraphQL: errori, liste e dati parziali
Le note dettagliate di questa edizione sono disponibili in inglese.
GraphQL result: follow the error path
Aliases belong to the result; list indices start at zero. These details determine where a client should flag missing data.
- Compare absent data, partial data and data: null.
- Keep the original path even when a parent becomes null.
- Test permissions, quotas and interface states separately.
Explore GraphQL responses and nullability →
GraphQL Specification · September 2025 · Published edition · September 2025