Web API（REST API）とは？

Web API（REST API）の意味

インターネット経由で、あるソフトウェアの機能を他のソフトウェアから呼び出せるようにする窓口。特にHTTPの仕組みに沿って、URLで操作対象を、HTTPメソッド（GET・POST・PUT・DELETEなど）で操作の種類を表す設計方針（REST）に従うAPIをREST APIと呼ぶ。データの受け渡しにはJSON形式がよく使われる。

Web API（REST API）の具体例

GET /users/123 で123番の利用者情報を取得し、POST /users で新規利用者を登録する、というようにHTTPメソッドとURLの組み合わせで操作を表現する。

Web API（REST API）は試験でどう引っ掛けられる？

RESTはサーバ側に前回のやり取りの状態を持たない（ステートレス）ことが原則で、必要な情報は毎回のリクエストに含める。「サーバがセションを保持するのがREST」は誤り。またメソッドの使い分けも定番で、参照だけのGETは何度実行しても結果が変わらない（べき等）が、POSTは繰り返すと登録が重複する。URLには操作対象の資源を名詞で表し、/getUser のように動詞を入れるのはRESTらしい設計ではない。SOAPはXMLベースで独自の規約を持つ別方式で、RESTの一種ではない。

Web API（REST API）と関連する用語

• マイクロサービスアーキテクチャ
• JSONとXML

Web API（REST API）が出た過去問

• WAFによる防御が有効な攻撃として、最も適切なものはどれか。

  正解：REST APIサービスに対するAPIの脆弱性を狙った攻撃

  要点：WAFはHTTP通信を検査しWebアプリ層の攻撃を防ぐ

  WAF（Web Application Firewall）は、HTTP/HTTPSの通信内容を検査してWebアプリケーション層の攻撃を遮断する仕組みです。REST APIもHTTP上で提供されるWebアプリケーションなので、不正なパラメータを使った攻撃の検知・防御に有効です。

  出典：令和4年度 秋期 応用情報技術者試験 午前 問42（IPA）

• JavaScriptのオブジェクトの表記法などを基にして規定したものであって、“名前と値との組みの集まり”と“値の順序付きリスト”の二つの構造に基づいてオブジェ…

  正解：JSON

  要点：JSONはオブジェクトと配列の2構造で表すデータ形式

  JSONはJavaScriptのオブジェクトリテラル表記を基にした軽量なデータ交換形式で、名前と値の組の集まり（オブジェクト）と値の順序付きリスト（配列）という二つの構造でデータを表現する。テキストベースで言語非依存であり、Web APIのデータ交換で広く使われる。

  出典：令和5年度 秋期 応用情報技術者試験 午前 問7（IPA）

• WAFによる防御が有効な攻撃として、最も適切なものはどれか。

  正解：REST APIサービスに対するAPIの脆弱性を狙った攻撃

  要点：WAFはHTTP通信を検査するのでWeb・APIへの攻撃に有効

  WAF（Web Application Firewall）は、HTTP/HTTPSの通信内容を解析してアプリケーション層の攻撃を検知・遮断する仕組みである。SQLインジェクションやクロスサイトスクリプティングのほか、HTTPで提供されるREST APIの脆弱性を突く攻撃も防御対象になる。ネットワーク層の攻撃やHTTP以外のプロトコルへの攻撃は守備範囲外である。

  出典：令和6年度 春期 応用情報技術者試験 午前 問41（IPA）

• OpenAPI Specificationに従ったAPIの定義・開発を支援する機能を提供するOSSはどれか。

  正解：Swagger

  要点：SwaggerはOpenAPI仕様でREST APIを定義・生成するツール群

  SwaggerはOpenAPI Specification（旧称Swagger Specification）に基づき、REST APIの定義・ドキュメント生成・コード生成・動作確認を支援するツール群のOSSである。Swagger EditorやSwagger UI、Swagger Codegenなどが含まれ、仕様ファイルからドキュメントやクライアントコードを自動生成できる。

  出典：令和7年度 春期 応用情報技術者試験 午前 問17（IPA）