Una richiesta batch REST è una chiamata API che raggruppa più subrichieste in un'unica interazione HTTP. Invece di inviare ogni azione separatamente, un client invia un elenco di operazioni e il server le elabora insieme, spesso con autenticazione, routing o impacchettamento delle risposte condivisi. Questo può ridurre la latenza e semplificare i client, soprattutto nelle piattaforme web che devono aggiornare più risorse contemporaneamente.
Nel lavoro di sicurezza, gli endpoint batch sono importanti perché ampliano la superficie di attacco. Una singola richiesta esterna può nascondere molte operazioni interne, rendendo più facile introdurre input pericolosi, colpire percorsi di validazione incoerenti o innescare errori di privilegi tra l'analisi della richiesta e la dispatch verso il backend. I difensori dovrebbero trattare ogni subrichiesta come non attendibile, applicare la stessa autorizzazione e la stessa convalida dei parametri a ogni elemento e assicurarsi che le chiamate al database usino query parametrizzate. Negli attacchi, le richieste batch possono essere usate per amplificare il probing, concatenare piccole falle in problemi più grandi o raggiungere percorsi di codice che i test normali su singola richiesta non individuano.