overview

🏗️ 後端架構

分層架構

Controller → Service → Repository → Database
    ↓           ↓           ↓
   DTO      Business    Entity/Model
            Logic

職責分離

• Controller: 處理 HTTP 請求/回應
• Service: 業務邏輯處理
• Repository: 資料存取層
• Model: 資料模型定義

🔐 API 設計

RESTful 原則

// ✅ Good
GET    /api/users       // 列表
GET    /api/users/:id   // 詳情
POST   /api/users       // 創建
PUT    /api/users/:id   // 完整更新
PATCH  /api/users/:id   // 部分更新
DELETE /api/users/:id   // 刪除

// ❌ Bad
GET /api/getUserList
POST /api/deleteUser

回應格式

// 成功回應
{
  "success": true,
  "data": { /* actual data */ },
  "meta": {
    "timestamp": "2024-01-01T00:00:00Z",
    "version": "1.0.0"
  }
}

// 錯誤回應
{
  "success": false,
  "error": {
    "code": "USER_NOT_FOUND",
    "message": "User not found",
    "details": { /* additional info */ }
  }
}

狀態碼使用

• 200 OK: 成功取得資源
• 201 Created: 成功創建資源
• 204 No Content: 成功但無內容
• 400 Bad Request: 請求參數錯誤
• 401 Unauthorized: 未認證
• 403 Forbidden: 無權限
• 404 Not Found: 資源不存在
• 422 Unprocessable Entity: 驗證失敗
• 500 Internal Server Error: 伺服器錯誤

🛡️ 安全措施

認證授權

• JWT Token: 無狀態認證
• Refresh Token: 長期有效性
• 權限檢查: RBAC/ABAC
• Session 管理: Redis 儲存

資料驗證

// 使用 Zod 驗證
const createUserSchema = z.object({
  email: z.string().email(),
  password: z.string().min(8),
  name: z.string().min(2).max(50),
  age: z.number().min(0).max(150)
})

// 中間件驗證
const validate = (schema) => (req, res, next) => {
  try {
    schema.parse(req.body)
    next()
  } catch (error) {
    res.status(422).json({ error })
  }
}

SQL 注入防護

// ✅ Good: 參數化查詢
const user = await db.query(
  'SELECT * FROM users WHERE id = $1',
  [userId]
)

// ❌ Bad: 字串串接
const user = await db.query(
  `SELECT * FROM users WHERE id = ${userId}`
)

💾 資料庫設計

Schema 設計原則

• 正規化: 至少到 3NF
• 索引策略: 查詢欄位建立索引
• 軟刪除: deleted_at 欄位
• 審計欄位: created_at, updated_at, created_by