Спроектируй внешний контракт и путь запроса в Go-сервисе: от HTTP-метода, кодов и ошибок до middleware, таймаутов и остановки процесса. Разбери аутентификацию и реальные границы защиты от инъекций, IDOR, mass assignment, SSRF и CSRF.
Спроектируй API как контракт: ресурс, метод, статус, формат ошибки, пагинация и правила повторной записи. Проверь, что изменение остаётся совместимым с уже выпущенными клиентами.
Проследи, как net/http принимает соединение, вызывает handler и удерживает ресурсы на время запроса. Настрой таймауты по фазам, размер тела и shutdown так, чтобы медленный клиент или SIGTERM не оставляли процесс без контроля.
Раздели authentication - кто обращается - и authorization - что ему разрешено. Сопоставь сессии, access/refresh tokens и JWT по отзыву, хранению и проверке, а затем привяжи каждый маршрут к нужной проверке.
Разбери реальные уязвимости на границе сервиса: SQL injection, mass assignment, SSRF, IDOR, CSRF, XSS и CORS. Для каждой определи, кто контролирует вход, какой слой обязан его проверять и чем именно исправляется конкретный дефект.