Cours APIs REST Complet 🔌

# 1. Le client (app mobile) envoie une REQUÊTE
POST /api/orders

# 2. Le serveur traite la requête et renvoie une RÉPONSE
201 Created

# RÉPONSE
HTTP/1.1 200 OK ← Status code + Message
Content-Type: application/json ← Headers
Cache-Control: max-age=3600
X-Total-Count: 150

# Ressources imbriquées
GET /api/users/42/posts # Posts de l'utilisateur 42
POST /api/users/42/posts # Créer un post pour l'utilisateur 42
GET /api/posts/7/comments # Commentaires du post 7

# Filtres et recherche (query parameters)
GET /api/users?role=admin&active=true
GET /api/posts?author=42&sort=-created_at
GET /api/products?q=laptop&min_price=500&max_price=2000

# Pagination
GET /api/posts?page=2&limit=20

let users = [
,
,
];

// GET /api/users — Liste
app.get('/api/users', (req, res) => );

// GET /api/users/:id — Détail
app.get('/api/users/:id', (req, res) => );

// POST /api/users — Créer
app.post('/api/users', (req, res) => );

// PATCH /api/users/:id — Modifier
app.patch('/api/users/:id', (req, res) => );

// DELETE /api/users/:id — Supprimer
app.delete('/api/users/:id', (req, res) => );

app.listen(3000, () => console.log('API sur http://localhost:3000'));

app = FastAPI(title=« Mon API », version=« 1.0 »)

# Schéma de validation (Pydantic)
class UserCreate(BaseModel):
name: str
email: EmailStr

class User(UserCreate):
id: int

users_db: list[User] = [
User(id=1, name=« Alice », email=« alice@mail.com »),
User(id=2, name=« Bob », email=« bob@mail.com »),
]

@app.get(« /api/users », response_model=list[User])
def list_users():
return users_db

@app.get(« /api/users/ », response_model=User)
def get_user(user_id: int):
user = next((u for u in users_db if u.id == user_id), None)
if not user:
raise HTTPException(status_code=404, detail=« User not found »)
return user

@app.post(« /api/users », response_model=User, status_code=201)
def create_user(data: UserCreate):
user = User(id=len(users_db) + 1, **data.model_dump())
users_db.append(user)
return user

@app.delete(« /api/users/ », status_code=204)
def delete_user(user_id: int):
user = next((u for u in users_db if u.id == user_id), None)
if not user:
raise HTTPException(status_code=404, detail=« User not found »)
users_db.remove(user)

# Lancer : uvicorn main:app –reload
# Doc auto : http://localhost:8000/docs (Swagger UI)

// 404

// 500 — JAMAIS exposer le stack trace au client

// 2. Le serveur vérifie et renvoie un token JWT
200 OK

// 3. Le client envoie le token dans chaque requête
GET /api/users/me
Authorization: Bearer eyJhbGciOiJIUzI1NiIs…

// Structure d'un JWT (3 parties séparées par des .)
// HEADER.PAYLOAD.SIGNATURE
// Header :
// Payload :
// Signature : HMACSHA256(header + payload, SECRET_KEY)

// Réponse

// 2. Pagination par CURSOR (performante, pour les gros datasets)
GET /api/posts?limit=20&after=eyJpZCI6NDJ9

// Réponse

// Filtrage
GET /api/products?category=electronics&in_stock=true
GET /api/products?min_price=100&max_price=500

// Recherche
GET /api/products?q=laptop

// Sélection de champs (sparse fieldsets)
GET /api/users?fields=id,name,email # Retourne seulement ces champs

// Include (relations)
GET /api/posts?include=author,comments # Embarquer les relations

paths:
/api/users:
get:
summary: Liste des utilisateurs
parameters:
– name: page
in: query
schema:
– name: limit
in: query
schema:
responses:
« 200 »:
description: Liste paginée
post:
summary: Créer un utilisateur
requestBody:
required: true
content:
application/json:
schema:
$ref: « #/components/schemas/UserCreate »
responses:
« 201 »:
description: Utilisateur créé

// 2. Rate limiting — limiter les requêtes par IP/utilisateur
// Express : npm install express-rate-limit
const rateLimit = require('express-rate-limit');
app.use(rateLimit());

// 3. CORS — contrôler les origines autorisées
// Express : npm install cors
const cors = require('cors');
app.use(cors());

// 4. Helmet — headers de sécurité HTTP
// Express : npm install helmet
const helmet = require('helmet');
app.use(helmet());

// 5. Validation input (Zod)
// Ne jamais insérer de l'input utilisateur brut en SQL/NoSQL

// 6. Ne jamais exposer les erreurs internes
// ❌ res.status(500).json()
// ✅ res.status(500).json()