セキュリティアーキテクチャ: プライベートデータの保護 (7.8.’26 13:22 Fri)¶

「service_api.py」のソースコードは、プライベートデータを保護するための 3 層の相互に独立したセキュリティアーキテクチャを実装しています。

＃＃概要

レイヤー	メカニズム	コンポーネント	保護目標
1	アンダースコアルールミドルウェア	`サービス_api.py`	隠しパスへのアクセスをブロックする
2	API キー認証	`サービス_api.py`	エンドポイントのアクセス制御
3	プライバシーマスキングとキャッシュの分離	`service_api.py`、`aura_cache.py`	データ難読化とキャッシュ分離

レイヤ 1: アンダースコアルールミドルウェア¶

先頭にアンダースコアが付いているパスまたはフォルダー (「_privat」など) へのリクエストは、ミドルウェアによって HTTP 403 Forbidden でハードブロックされます。

エラーメッセージ:

Access to hidden folders (starting with '_') is forbidden.

このルールはパス/ルーティングレベルで動作し、プライベートとしてマークされたディレクトリへのアクセスを防ぎます。

すべての API エンドポイントは「Depends(verify_api_key)」によって保護されます。

有効な「X-API-Key」ヘッダーのないリクエストは、ビジネスロジックに到達する前に直ちに拒否されます。

API を使用すると、「unmasked = False」がデフォルトになります。したがって、API 応答内の機密データは自動的にマスクされます。

「aura_cache.py」の「cache_id」ハッシュは、アクティブなウィンドウのタイトル (「_active_window_title」) で区切られています。

結果: ローカル端末で作成されたキャッシュエントリは、異なる cache_id ハッシュを持っているため、API 経由で読み取ることができません。

＃＃まとめ

したがって、「_privat」内の機密データは、3 つの言語およびパスレベルすべてで、不正な API アクセスから保護されます。