Stateful vs Stateless API: объяснение с примерами на Python

Stateful и Stateless API: в чем разница и что выбрать?

Вы когда-нибудь задумывались, почему одни API помнят вас, а другие — нет? Понимание разницы между Stateful и Stateless API — один из самых частых вопросов на собеседованиях backend и frontend разработчиков. В этой статье мы разберем, как они работают, когда их использовать, и рассмотрим примеры на Python. Вы узнаете не только определения, но и практические trade-offs, которые помогут вам принимать верные архитектурные решения.

Что такое состояние (State)?

Состояние — это информация о предыдущих взаимодействиях пользователя. Например:

• Авторизован ли пользователь?
• Что у него в корзине покупок?
• На какой странице он находился?

Ключевой вопрос: кто хранит эту информацию — сервер или клиент?

Stateful API: сервер помнит все

Stateful API хранит состояние клиента между запросами. Сервер создает сессию и хранит ее у себя. Клиент отправляет только идентификатор сессии (обычно в cookie).

Пример на Python (Flask):

from flask import Flask, session, jsonify, request

app = Flask(__name__)
app.secret_key = 'supersecretkey'

@app.route('/login', methods=['POST'])
def login():
    # Проверяем логин и пароль (упрощенно)
    username = request.json.get('username')
    # Создаем сессию — сервер хранит состояние
    session['user'] = username
    session['role'] = 'admin'
    return jsonify({'message': 'Logged in'})

@app.route('/profile')
def profile():
    # Сервер сам знает, кто мы — сессия уже есть
    if 'user' in session:
        return jsonify({'user': session['user'], 'role': session['role']})
    return jsonify({'error': 'Not logged in'}), 401

if __name__ == '__main__':
    app.run()

Плюсы:

• Простой logout — удалили сессию и все
• Легко инвалидировать сессии
• Чувствительные данные остаются на сервере

Минусы:

• Сервер должен хранить сессии (память)
• Сложнее масштабировать — нужна общая сессионная база (Redis) или sticky sessions

Stateless API: каждый запрос самодостаточен

Stateless API не хранит состояние. Каждый запрос содержит всю необходимую информацию для обработки. Обычно это JWT (JSON Web Token), который клиент отправляет в заголовке Authorization.

Пример на Python (Flask + PyJWT):

import jwt
from flask import Flask, request, jsonify
from datetime import datetime, timedelta

app = Flask(__name__)
SECRET = 'supersecretkey'

@app.route('/login', methods=['POST'])
def login():
    username = request.json.get('username')
    # Создаем JWT — вся информация в токене
    payload = {
        'user': username,
        'role': 'admin',
        'exp': datetime.utcnow() + timedelta(hours=1)
    }
    token = jwt.encode(payload, SECRET, algorithm='HS256')
    return jsonify({'token': token})

@app.route('/profile')
def profile():
    auth_header = request.headers.get('Authorization')
    if not auth_header:
        return jsonify({'error': 'No token'}), 401
    token = auth_header.split(' ')[1]  # Bearer 
    try:
        payload = jwt.decode(token, SECRET, algorithms=['HS256'])
        return jsonify({'user': payload['user'], 'role': payload['role']})
    except jwt.ExpiredSignatureError:
        return jsonify({'error': 'Token expired'}), 401
    except jwt.InvalidTokenError:
        return jsonify({'error': 'Invalid token'}), 401

if __name__ == '__main__':
    app.run()

Плюсы:

• Легко масштабировать — не нужно общее хранилище сессий
• Не нужно хранить состояние на сервере
• Отлично подходит для REST API и микросервисов

Минусы:

• Logout сложнее — нельзя просто удалить JWT, нужны blacklist’ы или короткое время жизни
• Токен может быть украден — нужно использовать HTTPS и короткие сроки действия

Сравнение Stateful и Stateless

Реальные примеры

Stateful: банковские сайты, классические серверные приложения (Django с сессиями).

Stateless: мобильные приложения, SPA на React, публичные REST API, микросервисы.

Ошибки на собеседованиях

• «Stateless — значит без аутентификации» — неверно. Аутентификация есть, просто состояние хранится в токене, а не на сервере.
• «JWT всегда stateless» — в целом да, но если вы ведете blacklist JWT, система перестает быть чисто stateless.
• «REST требует JWT» — REST не требует JWT, можно использовать API Keys, OAuth токены и т.д.

Сеньорский уровень: комбинированный подход

Современные приложения часто сочетают оба подхода. Например:

• Access Token (JWT) — stateless аутентификация для быстрых API-запросов.
• Refresh Token — хранится в HttpOnly cookie, проверяется сервером для выдачи новых access токенов.

Такой гибрид дает: быструю аутентификацию, хорошую масштабируемость и повышенную безопасность.

Практический вывод

Прямо сейчас определите, какой подход используется в вашем проекте. Если вы используете сессии — подумайте, не пора ли перейти на JWT для улучшения масштабируемости. Если используете JWT — убедитесь, что у вас настроена ротация токенов и короткое время жизни access токена. Понимание этих концепций выделит вас на собеседовании и поможет строить надежные системы.