Application Security и secure coding: OWASP, auth, API и проверка уязвимостейШаг 10 из 15 · 0% пройдено

1. Как учиться на этом курсе

Карта пониманияopen8м Что рисовать и фиксироватьopen8м Ритм практики и повторенияopen8м Проверка учебного маршрутаopen10м

2. Профессиональный практикум: проект, качество и портфолио

От требования к тестуopen14м Архитектура вместо набора синтаксиса14м

3. Атлас программных моделей: данные, архитектура, API и тесты

Поток данных и состояниеopen15м API и база данных16м Качество: тест, review, refactor, release14м

4. Threat model и доступ

Broken access controlopen11м Threat modeling для user flowopen12м Практика: доступopen14м

5. Input, secrets и security tests

Input validation и output encodingopen10м Security checks в CIopen11м Практика: secure codingopen13м

Threat model и доступ

Broken access control

Шаг 10 из 1511 минТеория

Цель

Понять основной механизм темы «Broken access control» без заучивания отдельных терминов.

Как работать

Прочитайте блок один раз целиком, затем вернитесь к схеме или примеру и перескажите идею своими словами.

Критерий

Сформулированное правило, пример применения и одно ограничение метода.

Access-control model: решение о доступе связывает пользователя, объект, действие и политику

Опорная идея

Самая опасная ошибка многих приложений — пользователь может получить объект, который ему не принадлежит. Это называется broken access control или BOLA в API-контексте. Проверка должна происходить на сервере для каждого действия: кто пользователь, какая роль, какой объект, какое действие и есть ли право именно на этот объект.

Нельзя полагаться на скрытую кнопку в интерфейсе. UI помогает пользователю, но не защищает данные.

Обсуждение

Войдите, чтобы участвовать в обсуждении.

Пока нет сообщений.