🎓 מפתחי בינה מלאכותית - GenAI Engineers

אבטחת API - Security by Design

אבטחת API היא לא “תוסף”. היא חלק מהארכיטקטורה: מודל איומים, הגנות שכבתיות, וניהול סיכונים. בפרק הזה נלמד איך להגן על שירותי FastAPI (וגם על שירותים בענן) בצורה סטנדרטית ופרקטית.

1) מודל איומים קצר: מה התוקף מנסה לעשות?

• לגנוב נתונים (PII, מסמכים, תמונות, תוצאות מודל)
• להפעיל פעולות ללא הרשאה (מחיקה, שינוי, העלאות)
• לשבור זמינות (DoS, rate abuse, ייצור עלויות)
• לנצל משאבים יקרים (קריאות LLM, חיפוש וקטורי, GPU)

2) Top mistakes בפרויקטים של API

3) שכבות הגנה: Defense in Depth

שכבה אחת לא מספיקה. הפתרון הטוב הוא שילוב:

• App: ולידציה, הרשאות, לוגיקה
• Gateway/Proxy: TLS, rate limiting, request size limits
• DB/Storage: הרשאות מינימליות, הפרדת נתונים
• Observability: לוגים, alerts, audit trail

4) Authentication מול Authorization - איפה אנשים נופלים?

אימות (JWT) אומר “מי אתה”. הרשאות אומרות “מה מותר לך”. רוב הפריצות קורות כשמסתמכים על user_id מה-path או מה-body בלי להשוות לזהות מה-token.

# לא נכון: סומכים על user_id מהלקוח
@app.get("/users/{user_id}")
def get_user(user_id: int):
    return db.get_user(user_id)

# נכון: מזהות מה-token + בדיקת הרשאה
@app.get("/me")
def me(user=Depends(get_current_user)):
    return db.get_user(user.user_id)

5) Rate limiting ו-Protecting expensive endpoints

מנגנון בסיסי: “כמה בקשות פר משתמש ליחידת זמן”. אפשר ליישם ב-Redis או לשים ברמת gateway.

# key: rl:{user_id}:{minute_bucket}
# INCR + EXPIRE
# אם עבר threshold - מחזירים 429 Too Many Requests

6) Input Validation + Schema hardening

• Pydantic נותן סכימה קשיחה ומונע “שדות מפתיעים”.
• הגבלת אורכים: text, lists, מספרים.
• איסור שדות לא מוכרים: extra = "forbid".

from pydantic import BaseModel, ConfigDict, Field

class NoteIn(BaseModel):
    model_config = ConfigDict(extra="forbid")
    title: str = Field(min_length=1, max_length=120)
    content: str = Field(max_length=10_000)

7) CORS, Cookies ו-CSRF - מה צריך לדעת

CORS הוא מנגנון דפדפן שמגן על המשתמש, לא על השרת. אם אתה משתמש ב-cookies לאימות, אתה חייב לחשוב גם על CSRF. אם אתה משתמש ב-Bearer token ב-header, CSRF פחות רלוונטי, אבל עדיין צריך CORS מדויק.

8) File uploads: אבטחת העלאות וקבצים

קבצים הם שטח התקפה קלאסי. חשוב להפריד: Object storage לקבצים ו-DB למטא-דאטה.

• הגבלת גודל העלאה (request size limit).
• בדיקת content-type וחתימה (מינימום).
• אחסון פרטי + Signed URLs להורדה.
• שמות קבצים לא מהלקוח - יצירת key פנימי.

9) Secrets management

סודות הם “דלת אחורית” אם דולפים. בפרודקשן: secrets ב-Secret Manager/ENV, הרשאות מינימליות, ורוטציה.

10) Logging, Audit trail, ופרטיות

• לא לוגים של tokens, סיסמאות, או מידע רגיש.
• Audit events: login, שינוי role, מחיקות, העלאות.
• Correlation id לבקשה (כדי לאתר תקלות).

11) Checklist קצר לפרודקשן

תרגול