Web API（REST API）とは？うぇぶえーぴーあい

背景

かつてのシステム間連携は、夜間バッチでCSVを転送したり、SOAPのようにXMLで独自の重い規約を積み上げたりする形が中心で、つなぐたびに専用の作り込みが要った。HTTPという既にどこでも通る土台の上に、URIとメソッドという既存の語彙だけで操作を表せば、特別な基盤なしに社内外のサービスを組み合わせられる——これがRESTの狙いである。午前I（科目A-1）では、設計様式としての性質（ステートレス、資源指向）と、セキュリティ側からの出題（WAFの防御対象になるか）の両面から問われる。

具体例

GET /users/123 で123番の利用者を取得し、POST /users で新規登録する。実サービスでは、銀行が改正銀行法を受けて公開したオープンAPIをマネーフォワード MEのような家計簿サービスが呼び、残高照会を代行している。

試験での引っ掛け

RESTはサーバ側に前回のやり取りの状態を持たない（ステートレス）のが原則で、「サーバがセションを保持するのがREST」は誤り。参照だけのGETは何度実行しても結果が変わらない（べき等）が、POSTは繰り返すと登録が重複する。URIには資源を名詞で表すのが定石で、/getUser のように動詞を入れるのはRESTらしい設計ではない。SOAPはXMLベースの別方式であってRESTの一種ではない。

関連用語

• マイクロサービスアーキテクチャ
• JSONとXML
• DNS
• メールサーバ
• API（アプリケーションプログラミングインタフェース）
• HTTP
• REST
• フィッシング
• オブジェクト指向の三大特徴（継承・カプセル化・多相性）
• オブジェクト指向の基礎（カプセル化・継承・多態性）
• 単体テスト・結合テスト・システムテスト
• アジャイル開発とスクラム
• 抽象化とインタフェース
• 構造化プログラミング
• アソシエーション分析（支持度・確信度・リフト値）
• コード設計（コード体系）
• XPathによる要素の指定
• ユーザビリティ評価
• レスポンシブWebデザインとアクセシビリティ
• 最短経路問題

出た過去問

• 出典：令和4年度 秋期 高度試験 午前Ⅰ 問14（IPA）

  WAFによる防御が有効な攻撃として、最も適切なものはどれか。

  正解：REST APIサービスに対するAPIの脆弱性を狙った攻撃

  要点：WAFはHTTPを検査してWebアプリ層の攻撃を防ぐ

  WAF（Web Application Firewall）は、HTTP／HTTPSの通信内容を検査し、Webアプリケーション層を狙う攻撃を検出・遮断する。REST APIもHTTPで提供されるWebアプリケーションなので、その脆弱性を突く攻撃はWAFの防御対象になる。

  この問題の解説ページを見る →