Seite 3 - REST-API

Express liefert von Haus aus nur schwach typisierte Request- und Response-Objekte. Mit generischen Typen fuer Body, Params und Query, typisierten Middleware-Ketten und einer klaren Fehlerklassen-Hierarchie wird aus einem fragilen JavaScript-Framework eine TypeScript-Backend-Architektur, die Fehler schon beim Kompilieren statt erst zur Laufzeit meldet.

Gute API-Dokumentation ist nicht das, was automatisch aus OpenAPI-Kommentaren generiert wird. Sie ist das, was einen externen Entwickler befähigt, in 15 Minuten den ersten erfolgreichen API-Call zu machen und danach selbstständig weiter zu integrieren – ohne Support-Ticket.

RFC 7807 definiert ein einziges, vorhersagbares JSON-Format für Fehlerantworten: type, title, status, detail und instance. Dieser Artikel zeigt, wie eine PHP-API dieses Format konsequent umsetzt, von der Problem-Details-Klasse über den globalen Exception-Handler bis zu fachlichen Validierungsfehlern mit eigenen Erweiterungsfeldern.

Frontend-Teams, die auf fertige Backend-Endpunkte warten, verschwenden Entwicklungszeit. Ein Mock-Server aus der OpenAPI-Spec liefert in Minuten realistische API-Antworten — inklusive Fehlerszenarien, Netzwerklatenz-Simulation und automatischer Validierung aller Requests gegen die Spec.

OAuth 2.0 regelt Autorisierung, OpenID Connect ergänzt die fehlende Identitätsschicht, und wer beides verwechselt, baut unsichere Logins. Dieser Artikel erklärt den Authorization Code Flow mit PKCE als aktuellen Standard, zeigt typische Implementierungsfehler bei Redirect URIs, State und Nonce, und beschreibt, wie sich ein Social Login sicher in einen Magento Shop integrieren lässt.

CORS-Fehler in der Browser-Konsole gehören zu den frustrierendsten Debugging-Erlebnissen für Frontend-Entwickler, und die naheliegende, schnelle Lösung, Access-Control-Allow-Origin auf * zu setzen, funktioniert zwar meist sofort, untergräbt aber genau den Sicherheitsmechanismus, den CORS eigentlich bereitstellen soll. Ein tieferes Verständnis der zugrunde liegenden Preflight- und Simple-Request-Mechanik erlaubt, CORS gezielt und sicher zu konfigurieren, statt es pauschal abzuschalten.

Wer REST-APIs ohne klare Patterns entwirft, baut Inkonsistenzen ein, die sich über Monate multiplizieren. Ressourcenstruktur, Statuscodes, Fehlerformate, Pagination und Versionierung nach erprobten Mustern zu gestalten, trennt APIs, die produktiv überleben, von solchen, die bei jeder Änderung breaking changes erzeugen.

Die Wahl des falschen Authentifizierungsverfahrens kostet nicht nur Sicherheit, sondern auch Entwicklerzeit bei jeder Integration. API-Keys, Bearer Token, OAuth2 und HMAC Signed Requests lösen unterschiedliche Probleme – und wer den Unterschied kennt, trifft die richtige Entscheidung vor dem ersten Commit.

Statische Typen enden normalerweise an der Netzwerkgrenze: Der Client weiss nicht, was der Server zurueckgibt, ausser er verlaesst sich auf manuell gepflegte Interfaces oder generierte Client-Codes. tRPC schliesst diese Luecke, indem Router-Typen direkt vom Server importiert werden, ganz ohne REST-Konventionen, ohne GraphQL-Schema und ohne separaten Codegenerierungs-Schritt.

Unsichere REST APIs sind keine Seltenheit – sie entstehen nicht durch schlechte Absichten, sondern durch fehlende Sicherheitsebenen in einer wachsenden Codebasis. Authentifizierungslücken, fehlendes Rate Limiting, ungeprüfte Eingaben, SSRF-Vektoren und Mass-Assignment-Schwachstellen sind die häufigsten Befunde in API-Security-Reviews und lassen sich mit klaren Mustern systematisch schließen.