تمهيد التدريب · هاجم تطبيقك أنت

بلسان الشبكة ولا شيء سواه، جِد كلَّ ما أرسله تطبيقك ولا ينبغي أن يملكه المستخدم. ثم أغلِق كلًّا عند المصدر. والقيد هو الدرس: فلا أدوات وراء التي يملكها كل مستخدمٍ بالفعل، فذلك بالضبط موقف كل من ينظر في تطبيقك. اعمل صفحةً صفحةً واقرأ كل استجابة، لا الشاشة. ولكلٍّ، اسأل سؤالين. أثمّة صفوفٌ هنا لا ينبغي أن يراها هذا المستخدم؟ مرشَّحةً خارجًا في الصفحة، تخصّ قسمًا آخر أو مالكًا آخر أو منطقةً أخرى. أثمّة حقولٌ هنا لا ينبغي أن يراها؟ أعمدةً مخفيّة، وقيمًا خلف فحص دور، وكلَّ ما تلقّته الصفحة ولم ترسمه. وافعل طلبات الكتابة أيضًا، وذلك ما ينساه الناس. افتح نموذجًا وأرسِله واقرأ ما أُرسِل. فحقلٌ مخفيّ يحمل قيمةً لم يرها المستخدم بياناتٌ تُكتَب باسمه لم يخترها — الاتّجاه الآخر للدرس ٣. ثم انظر في المسارات، مسارك والتي تتنقّل إليها الصفحة. فكلُّ شخصيٍّ في نصّ استعلامٍ هو الدرس ٩، وهو مُحتفَظٌ به في مواضع لا تتحكّم بها. ثم فتِّش ما…

في هذه الوحدة: الوحدة ١١ · الأمان: من يرى ماذا

1. ١أين يقع حد الثقة
2. ٢الترشيح في الواجهة ليس أمانًامعاينة مجانية
3. ٣إخفاء الحقل يرسله على أي حال
4. ٤رشّح عند المصدر
5. ٥تمرير الهوية كما ينبغي
6. ٦الأدوار داخل تطبيقك
7. ٧تأمين نقاط نهاية كائنات الأعمال
8. ٨الأسرار لا توضع في تطبيق
9. ٩ما ينتهي في سجل أو في عنوان
10. ١٠ما الذي ينكسر: أربع نتائج أمنية
11. ١١تمهيد التدريب · هاجم تطبيقك أنت