صلاحيات السجلات: تسجيل الدخول لا يكفي لحماية الفواتير
قد يملك المستخدم حسابًا صحيحًا دون أن يملك حق قراءة كل سجل. حماية الطلبات والفواتير تحتاج تحققًا من العملية ومن المورد نفسه، وليس مجرد وجود جلسة دخول…
— المدونة
المقالات والأفكار
مقالات حول التقنية وتطوير الأعمال والتجارب الشخصية، وأفكار متنوعة
من واقع خبرتي في تطوير المواقع وإدارة الأنظمة.
وليد الفليحيرفع الملفات في موقع ويب: تحقق من المحتوى ومكان التخزين
الملف المرفوع ليس مجرد اسم وامتداد. قد يحتوي بيانات غير متوقعة، أو يتجاوز الحجم المطلوب، أو يصل إلى مكان يسمح بالتنفيذ أو القراءة العامة. حماية الرفع…
حماية CSRF: لماذا تحتاج العمليات الحساسة تحققًا إضافيًا؟
وجود جلسة مستخدم لا يعني أن كل طلب مرتبط بها جاء من واجهة يثق بها. حماية CSRF تساعد في العمليات التي تعتمد على بيانات جلسة يرسلها المتصفح تلقائيًا، مثل…
سجلات التطبيق: معلومات تكفي للتشخيص دون كشف الأسرار
السجل المفيد يجيب عن ماذا حدث ومتى وأين، دون جمع كل شيء يمر عبر النظام. تسجيل كامل الطلب قد يكشف كلمة مرور أو رمز وصول أو بيانات عميل لا يحتاجها من…