你的 API 没有 bug。它只是讨厌大写字母。

Source: Dev.to

问题

你知道什么最让人欣喜吗？

花了三个小时调试认证头、负载校验和中间件……结果发现有人把 /V1/users 写成了 /v1/users。只有一个大写字母。半天的时间就这么没了。太棒了。

与域名不同，URL 路径通常是区分大小写的，所以 /v1 和 /V1 在技术上是不同的资源。这本身没问题。问题在于你的 API 返回了：

• 400 Bad Request
• 403 Forbidden
• 500 Internal Server Error

这些都没有说明真实情况：“该资源不存在”。相反，它们把开发者引向了以下的兔子洞：

• 对比请求头
• 重新检查令牌
• 责怪负载
• 质疑基础设施
• 在 Slack 上争论

这一切仅仅因为一个大写字母。

Rentgen 的做法

Rentgen 接收一个有效请求，然后只改变一件事：将整个路径转换为大写。仅此而已。随后它检查：

• 如果路径是严格的 → 返回 404 Not Found
• 如果路径是规范化的 → 返回 2xx 响应
• 其他情况 → 产生误导性的行为

简单、确定、残酷。

为什么重要

这并不是某种奇特的安全漏洞——它是时间的吸血鬼。

• 不会导致生产环境崩溃。
• 不会触发警报。
• 会悄悄消耗工程师的工时，而每个人都在喊“在我的机器上可以工作”。

API 的失败并不只出现在复杂的边缘案例中。有时它们失败是因为 Caps Lock 开着。如果你的 API 能够可预测地处理大写路径，你就可以消除整类毫无意义的调试工作。这价值远超表面看起来的那样。

完整文章