Bmob 数据库 REST API

什么时候该用 REST 而不是 SDK

你的场景可能是 Go/Rust 后端、数据迁移脚本、Serverless 函数，或只是想在 Bash 里 curl 一把——只要环境能发 HTTP，就不该被某一种 JS SDK 绑死。Bmob 的 REST 层把表操作、用户系统、文件上传都暴露成固定形态的 URL 与 JSON body；本技能把控制台里容易漏掉的约定（域名、/1/ 版本号、Header 鉴权、query 编码）整理成可照着写的参考。

技能覆盖的核心能力

• URL 与鉴权：基址一般为 https://api.codenow.cn/1/；简易授权用 X-Bmob-Application-Id + X-Bmob-REST-API-Key（服务端、脚本、与 JS SDK 方式 B 一致）；浏览器直连 REST 时更宜 Secret Key + MD5 签名（6 个头部，见 shared/md5-sign-algo.md），避免 REST API Key 被抓包复用。
• 读写约定：POST/PUT 必须 Content-Type: application/json；GET 的 where / order / limit / skip 等 query 需 URL encode；默认返回 10 条，上限 1000，大结果用分页或 count=1。
• 操作面：类表 CRUD、原子计数器、/1/batch（单次 ≤50，子请求独立成败不回滚）、Pointer/Relation/Date/File/GeoPoint 的 __type 字段、用户接口与 /2/files/ 二进制上传。
• 排错与联动：常见 HTTP/code 对照表；若已配 Bmob MCP，优先用 generate_code 生成 curl，减少手写 where 与 Header 过时。

适用边界与安全注意

REST API Key 可以用于前端（与 3.0 SDK 方式 B 一致），但公开 bundle 里仍易被抓包，生产浏览器/小程序优先 SDK 方式 A 或加密授权、或自建 BFF。Master Key 仅服务端、X-Bmob-Master-Key 勿下发客户端；Key 走环境变量；写操作表需配 ACL（body 可带 "ACL": {...}）；生产必须 HTTPS；批量与 QPS 超限会返回明确错误码。