| 过滤 | ?status=paid&created_after=2026-01-01，字段白名单 |
|---|---|
| 排序 | ?sort=-created_at，前缀减号表示倒序 |
| 字段裁剪 | ?fields=id,status 减少载荷与耦合 |
参数直接拼接进 SQL 或转发给搜索引擎会造成注入与资源耗尽；必须走白名单与绑定参数。
过滤、排序与字段选择
集合接口的查询能力：过滤条件、排序字段与字段裁剪（fields/select）；参数要白名单化并限制复杂度，避免把数据库查询能力暴露成攻击面。
易错点
- 过滤字段不设白名单，被利用生成昂贵查询
- 默认返回全量字段，载荷膨胀且暴露内部字段
数据来源与参考
- Google API 设计指南：Standard Query Parameters
- OWASP API Security Top 10（2023）