الترشيح في الواجهة ليس أمانًا

وجدولٌ مرشَّح إلى قسمٍ واحد قد تلقّى الأقسام الأخرى بالفعل. افتح لسان الشبكة واقرأ ما أُعيد فعلًا. وهذا أشيع عيبٍ أمني في التطبيقات المبنيّة هكذا، ويرتكبه من يفعلون شيئًا يبدو معقولًا تمامًا. والنمط: اجلب القائمة، ورشّحها في المتصفّح، واربط النتيجة المرشَّحة بالجدول. وهو بسيطٌ وسريع الكتابة، وقد لاحظه الدرس ٧ من الوحدة ٧ قرارَ أداء. وهنا هو الشفرة نفسها بعاقبةٍ مغايرة: فالصفوف التي رشّحتها خارجًا سُلِّمت للمستخدم قبل أن تزيلها. والصفحة صحيحة. فلا يرى المستخدم إلا قسمه ولا سبيل، باستعمال التطبيق، إلى رؤية أكثر. وبيانات كل قسمٍ آخر في الاستجابة، في المتصفّح، في الذاكرة، على بعد لسان. وذلك يعني أن الحماية هي الصفحةُ تختار ألّا تُظهِر شيئًا أُعطيته. وليس ذلك تحكّمًا — فالتحكّم ألّا تُعطاه. وسبب نجاته من المراجعة أن كل شاشةٍ تُظهِر الشيء الصحيح. فلا يستطيع من ينظر في التطبيق رؤية المشكلة، ولن تظهر في أي اختبارٍ يقود الواجهة. وهي مرئيّةٌ في الاستجابة فقط، ولذلك تكون تعليمة هذا الدرس…

في هذه الوحدة: الوحدة ١١ · الأمان: من يرى ماذا

1. ١أين يقع حد الثقة
2. ٢الترشيح في الواجهة ليس أمانًامعاينة مجانية
3. ٣إخفاء الحقل يرسله على أي حال
4. ٤رشّح عند المصدر
5. ٥تمرير الهوية كما ينبغي
6. ٦الأدوار داخل تطبيقك
7. ٧تأمين نقاط نهاية كائنات الأعمال
8. ٨الأسرار لا توضع في تطبيق
9. ٩ما ينتهي في سجل أو في عنوان
10. ١٠ما الذي ينكسر: أربع نتائج أمنية
11. ١١تمهيد التدريب · هاجم تطبيقك أنت