正解: C

リチャードソン成熟度モデル:

• Level 0: 単一URI、単一メソッド
• Level 1: リソースごとにURIを分離
• Level 2: HTTPメソッドを正しく使い分ける（GET, POST, PUT, DELETE）
• Level 3: HATEOAS（ハイパーメディアリンクを含める）

正解: B

HATEOAS（Hypermedia As The Engine Of Application State）では、レスポンスに「次にできる操作」のリンクが含まれます。クライアントはこのリンクをたどることで操作を行うため、URLをハードコードする必要がありません。これにより、サーバー側でURLを変更してもクライアントへの影響を最小限に抑えられます。

正解: C

Authorization Code Grant のフロー:

1. クライアントが認可サーバーにリダイレクト
2. ユーザーが認可を許可
3. 認可コードがクライアントに返される
4. クライアントが認可コードをアクセストークンに交換
5. アクセストークンでAPIにアクセス

認可コードは一時的なもので、アクセストークンとの交換に使用されます。

正解: C

JWTのペイロードはBase64エンコードされているだけで、暗号化されていません。そのため、パスワードのハッシュ値などの機密情報を含めるべきではありません。

含めるべき情報: sub（ユーザーID）、exp（有効期限）、iat（発行日時）、role（ロール）など。

正解: B

429 Too Many Requests を返す際は、Retry-After ヘッダーでクライアントに再試行可能になるまでの時間（秒）を伝えます。

加えて、RateLimit-Limit、RateLimit-Remaining、RateLimit-Reset のヘッダーも設定することで、クライアントがレート制限の状況を把握しやすくなります。

正解: B

トークンバケットアルゴリズムでは:

• バケットにトークンが一定速度で補充される
• 各リクエストでトークンを1つ消費
• バケットに溜まったトークン分だけバースト的なリクエストに対応可能
• トークンがなくなったらリクエストを拒否

固定ウィンドウの境界問題を避けつつ、短時間のバースト（突発的な大量リクエスト）にも対応できます。

正解: B

• 認証（Authentication）: 「あなたは誰？」→ 身元の確認（ログイン、トークン検証）
• 認可（Authorization）: 「何が許可されている？」→ 権限の確認（ロール、スコープ）

認証に失敗した場合は 401 Unauthorized、認可に失敗した場合は 403 Forbidden を返します。

正解: C

ネストは2階層までが推奨です。3階層以上になる場合は、深い階層のリソースをトップレベルに昇格させ、親リソースのIDをクエリパラメータで指定します。

例:

• GET /api/v1/users/123/orders/456/items/789 （深すぎる）
• GET /api/v1/order-items/789 （トップレベルに昇格）
• GET /api/v1/order-items?orderId=456 （クエリパラメータで絞り込み）