server {
listen 80;
server_name example.com *.example.com;
location / {
proxy_pass http://127.0.0.1:5000/;
proxy_http_version 1.1;
proxy_set_header Upgrade $http_upgrade;
proxy_set_header Connection $connection_upgrade;
proxy_set_header Host $host;
proxy_cache_bypass $http_upgrade;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $scheme;
}
}
и валидные, и невалидные, и всякие невероятные (длина 4к+, спецсимволы, всякие обратные кавычки и прочее)
базово что проверяют:
1. что пускает с правильными кредами
2. что не пускает с неправильными
3. что не падает при кривом запросе (символы, невалидный json, очень длинный или наоборот пустой запрос)
4. что не пролезает например SQL инъекция (те самые кавычки, и да, в 2025 году иногда можно встретить построение запроса конкатенацией сырых вводных)
5. отдельной строкой ретраи и rate limit - что будет если бомбить эндпойнт в 16 потоков спамом запросами (и какое при этом ожидаемое поведение? - отдать 500 не ок, отдать если не успеваем 429 - ок, например)