À propos des API PlayFab
Les clients de jeu envoient des requêtes aux API PlayFab à l’aide d’URI telles que :/client/loginwithxbox/catalog/getitems/cloudscript/executefunction
Qu’est-ce qu’une stratégie d’accès aux API?
Chaque titre PlayFab dispose d’une stratégie d’accès aux API : une liste d’instructions d’autorisation qui déterminent les API PlayFab que les joueurs sont autorisés à appeler depuis le client de jeu. La stratégie agit comme un pare-feu au niveau du titre : lorsqu’un client effectue un appel d’API, PlayFab évalue la stratégie pour déterminer si la requête doit être autorisée ou refusée. La stratégie d’accès aux API par défaut autorise la plupart des API.Pourquoi modifier la stratégie d’accès aux API?
- Restreindre l’accès aux fonctionnalités que votre titre n’utilise pas
- Empêcher les joueurs malveillants d’augmenter vos coûts
- Se protéger des fautes de frappe pendant le développement
Structure
La stratégie d’accès aux API d’un titre est une liste ordonnée d’instructions. Chaque instruction comporte les champs suivants :Effet Deny
L’effetDeny est prioritaire sur l’effet Allow. Si une ressource avec un caractère générique (p. ex., pfrn:api--/CloudScript/*) a l’effet Deny, aucune API commençant par cette ressource n’est accessible, même si elle a un effet Allow spécifique.
Page API Access Policy
La page API Access Policy des paramètres de votre titre dans Game Manager fournit une interface permettant d’afficher et de modifier la stratégie d’accès aux API de votre titre.Page d’index
La page d’index affiche un tableau de toutes les catégories d’API avec les colonnes suivantes :Actions disponibles
- Search : filtre la liste des catégories par nom ou par chemin d’API. Ce filtre est conservé sur la page de catégorie.
- Edit as JSON : ouvre un éditeur JSON de la stratégie complète pour les utilisateurs avancés. L’enregistrement depuis cet éditeur remplace l’intégralité de la stratégie en une seule fois et prend effet immédiatement.
- Revert to Defaults : réinitialise l’intégralité de la stratégie sur la stratégie par défaut de PlayFab et l’enregistre immédiatement. Une boîte de dialogue de confirmation s’affiche avant l’exécution de cette action.
Page de catégorie
Cliquer sur le nom d’une catégorie permet d’accéder à la page de détails, qui répertorie chaque API de cette catégorie avec des contrôles individuels. Toute modification des cases à cocher de cette page doit être enregistrée pour prendre effet.Règle générique
En haut de chaque groupe de modèles de ressources se trouve une règle générique, un groupe de cases d’optionAllow ou Deny. Elle définit l’effet par défaut pour toutes les API de ce groupe. Lorsque le caractère générique est défini sur Deny, toutes les bascules d’API individuelles situées en dessous sont désactivées, car toute la catégorie est bloquée.
Bascules par API
Sous la règle générique, chaque point de terminaison d’API est répertorié avec une case à cocher. Lorsqu’elle est cochée, l’API est autorisée ; lorsqu’elle est décochée, elle est refusée. Ces bascules par API vous permettent de créer des exceptions à la règle générique. Par exemple, refusez toutes les API Client par défaut, puis autorisez explicitement uniquement celles utilisées par votre titre.Actions disponibles
- Save : enregistre uniquement les instructions de la catégorie actuelle
- Reset : ignore toutes les modifications non enregistrées de cette catégorie
- Edit as JSON : ouvre un éditeur JSON limité aux instructions de cette catégorie
- Search : filtre la liste des API de la catégorie
Barre latérale de récapitulatif des modifications
Les deux pages comprennent une barre latérale Pending changes sur le côté droit de l’écran. Cette barre latérale affiche en temps réel la liste de toutes les instructions que vous avez modifiées depuis le dernier enregistrement, avec des étiquettes de couleur :- Allow : une ressource a été modifiée pour être autorisée
- Deny : une ressource a été modifiée pour être refusée
- Removed : une instruction auparavant explicite a été supprimée (l’API hérite de la règle générique de sa catégorie)