Какие сервисы можно назвать RESTful

Что проверяют

Понимаете ли вы принципы REST настолько, чтобы находить их нарушения в чужом API. Для тестировщика следом почти всегда идут вопросы про идемпотентность методов и разницу кодов 401 и 403, 400 и 422.

Как отвечать

Коротко дайте определение: RESTful называют сервис, который следует ограничениям стиля REST. Главные из них: у ресурсов свои URI, работа идёт через стандартные методы HTTP, сервер не хранит сессию между запросами, ответы явно помечены как кешируемые или нет. Затем переведите это в то, что вы проверяете:

• методы: GET ничего не меняет, POST создаёт, PUT заменяет ресурс целиком, PATCH меняет частично, DELETE удаляет. Неподдерживаемый метод на ресурсе даёт 405 Method Not Allowed;
• идемпотентность: повторный PUT или DELETE не меняет состояние сервера сверх первого вызова. Повторный POST может создать дубликат, это проверяют отдельно;
• коды ответа: 201 Created с заголовком Location после создания, 204 No Content после удаления, 404 на несуществующий ресурс, 400 на битый JSON, 422 на корректный JSON с невалидными данными, если API так договорился;
• авторизация: 401 без токена или с просроченным, 403 при нехватке прав;
• кеширование: Cache-Control, ETag и ответ 304 Not Modified на запрос с If-None-Match;
• формат: заголовки Content-Type и Accept, ответ 415 на неподдерживаемый тип тела.

Инструменты: Postman или Bruno для ручных проверок, REST Assured или pytest с requests для автотестов, спецификация OpenAPI как источник ожидаемого контракта.

Где спотыкаются

Путают идемпотентность с одинаковым ответом. Второй DELETE вполне может вернуть 404, и метод остаётся идемпотентным: состояние сервера не изменилось.

Не различают 401 и 403. Первый значит «вы не аутентифицированы», второй «вы известны, но доступа нет».

Проверяют только позитивные сценарии и код 200. Большая часть нарушений REST видна на ошибках: неверный метод, чужой ресурс, битое тело, повторная отправка.