Ces attaques exploitent le fait que les navigateurs permettent à des scripts d’envoyer des requêtes sans effectuer de pré-vérification CORS (preflight) lorsqu’ils :

* n’ont pas d’en-tête `Content-Type` (par ex. en utilisant `fetch()` avec un corps `Blob`)
* et n’envoient aucune information d’authentification.

Ce type d’attaque est surtout pertinent lorsque :

Lorsque vous installez FastAPI (par exemple avec `pip install "fastapi[standard]"`), il est fourni avec un programme en ligne de commande que vous pouvez exécuter dans le terminal.

Pour exécuter votre application FastAPI en développement, vous pouvez utiliser la commande `fastapi dev` :

<div class="termy">

# Utiliser Request directement { #using-the-request-directly }

Jusqu'à présent, vous avez déclaré les parties de la requête dont vous avez besoin, avec leurs types.

En récupérant des données depuis :

* Le chemin, sous forme de paramètres.
* En-têtes.
* Cookies.
* etc.

Et ce faisant, **FastAPI** valide ces données, les convertit et génère automatiquement la documentation de votre API.

# Corps - Modèles imbriqués { #body-nested-models }

Avec FastAPI, vous pouvez définir, valider, documenter et utiliser des modèles imbriqués à n'importe quelle profondeur (grâce à Pydantic).

## Déclarer des champs de liste { #list-fields }

Vous pouvez définir un attribut comme étant un sous-type. Par exemple, une `list` Python :

{* ../../docs_src/body_nested_models/tutorial001_py310.py hl[12] *}

]
```

Ce sont des objets **JavaScript**, pas des chaînes, vous ne pouvez donc pas les passer directement depuis du code Python.

# Configurer OpenAPI de manière conditionnelle { #conditional-openapi }

Si nécessaire, vous pouvez utiliser des paramètres et des variables d'environnement pour configurer OpenAPI de manière conditionnelle selon l'environnement, et même le désactiver complètement.

## À propos de la sécurité, des API et des documents { #about-security-apis-and-docs }

Masquer vos interfaces utilisateur des documents en production ne devrait pas être la manière de protéger votre API.

Pour cela, vous pouvez utiliser `WSGIMiddleware` et l'utiliser pour envelopper votre application WSGI, par exemple Flask, Django, etc.

## Utiliser `WSGIMiddleware` { #using-wsgimiddleware }

/// info

Cela nécessite l'installation de `a2wsgi`, par exemple avec `pip install a2wsgi`.

///

Les tests ajoutés ici seront visibles par tous les concepteurs d’invites spécifiques à chaque langue.

Utiliser comme suit :

* Avoir une invite spécifique à la langue - `docs/{language code}/llm-prompt.md`.

# Tester les WebSockets { #testing-websockets }

Vous pouvez utiliser le même `TestClient` pour tester les WebSockets.

Pour cela, vous utilisez `TestClient` dans une instruction `with`, en vous connectant au WebSocket :

{* ../../docs_src/app_testing/tutorial002_py310.py hl[27:31] *}

/// note | Remarque

Dans certains cas d'utilisation particuliers (probablement pas très courants), vous pourriez vouloir **restreindre** les en-têtes que vous souhaitez recevoir.

Vous pouvez utiliser la configuration du modèle de Pydantic pour `forbid` tout champ `extra` :

{* ../../docs_src/header_param_models/tutorial002_an_py310.py hl[10] *}