API 安全：认证、授权、输入校验与审计

难度：进阶。本文为中文技术整理，保留来源中的技术边界；示例只用于阅读，未在本服务器执行。

登录成功不代表用户可以访问任意资源。每次资源访问都需要后端授权，输入校验和审计又是不同职责。

示例

def can_read(user, document):
    return document.owner_id == user.id or user.is_staff

来源

• https://owasp.org/API-Security/