Posso liberar CORS para qualquer domínio em ambiente de testes?

Em desenvolvimento pode, mas nunca leve isso para produção. Risco de exposição total.

Preciso de CSRF token em APIs REST?

Só se usar autenticação baseada em cookies. Com JWT em header Authorization, o risco é muito menor.

Como defino escopos no JWT?

Inclua uma claim 'scopes' (lista de strings) no payload do token ao gerar o JWT.

O que acontece se não configurar CORS?

Browsers vão bloquear requisições de outros domínios, mas clientes não-browser (curl, scripts) não são afetados.

Autorização e CORS: só entra quem pode, do jeito certo

Em resumo

Não basta autenticar: sua API precisa garantir que cada usuário só acesse o que deve, e que só clientes legítimos possam conversar com ela. Você vai aprender a controlar perfis de acesso, configurar CORS corretamente no FastAPI e proteger contra ataques CSRF e XSS.

Conta gratuita