Реализовывал ли API самостоятельно?

Да ты посмотри, какой серьёзный вопрос подъехал! Ну что ж, опыт у меня, прямо скажем, овердохуища в этой теме. Сидел, блядь, проектировал эти API, пока глаза не начинали слипаться. В основном, конечно, на бэкенде всё это вертелось.

Чем я там, сука, баловался и как:

1. RESTful API: Ну это святое, ёпта. Делал всё по канону: GET, POST, PUT, PATCH, DELETE — каждый на своём месте, как солдат. Статусы 200, 201, 404, 500 — не просто цифры, а целая философия, я тебя уверяю. URL чтобы красивые были, типа /api/users/15/posts, а не get_user_posts.php?uid=15&action=view. И да, HATEOAS эту самую вкручивал, где мозги клиента могли сломаться от простого списка ссылок. Всё, естественно, в JSON — хуй с горы в XML, извините.

2. Кто ты такой и что тебе можно: Тут доверия ебать ноль, поэтому без аутентификации и авторизации — ни шагу. JWT-токены плодил, OAuth 2.0 настраивал, чтобы можно было через ВК или гугл зайти. Для сервисов, которые между собой болтают, — простые, но крепкие API-ключи. Чтобы никто левый не влез, пидарас шерстяной.

3. Валидация и безопасность: Это вообще отдельная песня. Любой пользовательский ввод — это враг, пока не доказано обратное. Подозрение ебать чувствую ко всем этим $_POST и $_GET. Использовал или валидаторы фреймворка, или свои DTO-шки, чтобы всё разложить по полочкам. От SQL-инъекций, XSS и прочей манды с ушами защищался как лев. Вы ходите по охуенно тонкому льду, если не экранируете запросы.

4. Документирование: А без этого — распиздяйство чистой воды. OpenAPI (Swagger) — мой лучший друг. Написал спецификацию, и у тебя уже есть живая документация, где можно тыкать кнопочки, и даже код для клиентов генерируется. Красота, ебушки-воробушки.

5. Прочая ерундень: Пагинация, чтобы не выгружать 10 тысяч записей разом, сортировка, фильтры. Версионирование API делал, чтобы старые клиенты не накрылись медным тазом, когда я что-то новое введу. Ошибки логировал не в error_log, а в нормальную систему. И кеширование, куда ж без него, на Redis, чтобы всё летало.

Вот, смотри, кусок кода, как это примерно выглядело на Symfony:

// src/Controller/Api/UserController.php
namespace AppControllerApi;

use AppEntityUser;
use AppRepositoryUserRepository;
use SymfonyBundleFrameworkBundleControllerAbstractController;
use SymfonyComponentHttpFoundationJsonResponse;
use SymfonyComponentHttpFoundationRequest;
use SymfonyComponentHttpFoundationResponse;
use SymfonyComponentRoutingAnnotationRoute;
use SymfonyComponentSerializerSerializerInterface;

#[Route('/api/users')]
class UserController extends AbstractController
{
    #[Route('', name: 'api_users_list', methods: ['GET'])]
    public function list(UserRepository $userRepository, SerializerInterface $serializer): JsonResponse
    {
        $users = $userRepository->findAll();
        $data = $serializer->serialize($users, 'json', ['groups' => 'user:read']);
        return new JsonResponse($data, Response::HTTP_OK, [], true);
    }

    #[Route('/{id}', name: 'api_users_show', methods: ['GET'])]
    public function show(User $user, SerializerInterface $serializer): JsonResponse
    {
        // ParamConverter автоматически находит User по id
        $data = $serializer->serialize($user, 'json', ['groups' => 'user:read']);
        return new JsonResponse($data, Response::HTTP_OK, [], true);
    }
}

А, ну и GraphQL, да, сам от себя охуел, но приходилось. Когда фронтендеры такие: «А дай нам вот это, это, а вот это не надо, а вот это только по вторникам». Использовал webonyx/graphql-php. Гибко, конечно, но иногда так захочется ебануть его об стену от этих сложных запросов.