Как вы выстроите защиту API, через которое мобильное приложение получает данные о счетах клиента, — на всём пути от приложения до базы?
~4 мин голосом
Как подойти
Проверяют, умеет ли кандидат мыслить защитой в глубину: не полагаться на один шлюз или «закрытую сеть», а закрыть каждый участок пути от приложения до базы. Главный маркер — проверка владения счётом на сервере (BOLA/IDOR) и отказ от доверия внутренней сети.
Интервьюер задаст этот вопрос и послушает. Думай вслух, проси подсказку, если нужно. Закончил — пауза или «Я ответил», через минуту здесь балл и какие пункты закрыты.