Distingui i file API non disponibili da quelli non autorizzati

Una richiesta di file può restituire 404 per non rivelare una risorsa, quindi il solo stato non permette di stabilire se un record sia stato eliminato. Esamina solo gli identificatori già ricevuti legittimamente dalla tua integrazione.

Cosa può significare ogni risposta

Per GET /api/files/:id, 404 File not found può indicare un ID ignoto o non risolvibile, un file nascosto a chi effettua la richiesta e una chiave del sito WordPress che punta a un file fuori dalla cartella del sito. Questa risposta comune impedisce di rivelare l’esistenza della risorsa.

Un file individuato può restituire 403 Access denied se chi effettua la richiesta non appartiene al suo spazio di lavoro. Altre risposte 403 indicano una causa più specifica: You don't have access to the files page, This file is outside the folder you're confined to, un risultato strutturato folder_locked, un vincolo a uno spazio di lavoro diverso oppure il rifiuto dell’ambito o della superficie della chiave API.

Passaggi

1. Parti da un ID file restituito in precedenza alla stessa integrazione e annota lo spazio di lavoro, la cartella e l’identità della chiave previsti.
2. Verifica che la credenziale sia completa, non scaduta, abilitata sulla superficie API REST e non vincolata a una cartella.
3. Confronta il vincolo della chiave con lo spazio di lavoro noto del file e verifica che il membro corrente ne faccia ancora parte.
4. Esegui GET /api/files/:id, conservando lo stato esatto e il corpo dell’errore privato dei dati sensibili, invece di ridurre entrambi a “mancante”.
5. Per 403 risolvi il problema indicato relativo ad ambito, superficie, vincolo, ruolo, limitazione o blocco; per 404 controlla lo stato attendibile dell’applicazione e l’interfaccia dosya senza provare ID adiacenti.
6. Riprova con l’ID noto solo dopo aver corretto la condizione pertinente. Se il 404 a tutela della privacy persiste, considera il file non disponibile per chi effettua la chiamata.

Comportamento sicuro del client

Non provare valori file_… ipotetici per distinguere i casi. Un file nascosto si comporta intenzionalmente come se fosse assente. Una normale chiave API vincolata a una cartella viene rifiutata per tutte le richieste REST sui file prima di raggiungere questo gestore, anche se la cartella vincolata contiene il file; per questo tipo di credenziale usa WebDAV o S3.

La risposta strutturata per un blocco è HTTP 403 con error:"folder_locked", il relativo folder_id e lock_mode:"full_lock". Fornisce a chi ha accesso legittimo informazioni sufficienti per seguire la procedura di sblocco, mentre un file nascosto continua a restituire 404.

Risultato previsto

Il client tutela la privacy considerando il 404 come non disponibile, mostra le cause precise del 403 a un operatore autorizzato e non usa mai identificatori estranei per dedurre l’esistenza di dati privati.

Guide correlate

• Elenca i file con l’API
• Gestisci gli errori API