SİBERSALDİRİ.COM · KONU ODAKLI DERS
Bu derste kazanacaklarınız
- Giriş ile Kimlik yenileme arasındaki ilişkiyi açıklamak.
- “HttpOnly bütün XSS etkisini bitirir mi?” sorusuna gerekçeli yanıt vermek.
- Örneği değiştirip beklenen ve gözlenen davranışı karşılaştırmak.
Çalışma mantığı ve güven sınırı
HTTPS için Secure, betik erişimini sınırlamak için HttpOnly ve gönderim politikasına göre SameSite seçin. Başarılı girişten sonra kimliği yenileyin. Çıkışta sunucu oturumunu ve çerezi birlikte ele alın. Bu önlemler CSRF doğrulamasının veya her nesne için yetki kontrolünün yerini almaz.
Açıklamalı örnek
Aşağıdaki parça kavramı görünür kılar. Komut veya kod içeren örnekleri üretim sisteminde değil, size ait ayrı deneme ortamında değerlendirin. Mimari şema ve politika örnekleri çalıştırılabilir program değildir.
<?php
session_set_cookie_params(['secure'=>true,'httponly'=>true,'samesite'=>'Lax','path'=>'/']);
session_start();
// Başarılı girişten sonra session_regenerate_id(true) çağrılır. resmî örnekte yaşam döngüsünü inceleyin.Beklenen sonuç ve yorumu
HTTPS ortamında oturum çerezi belirtilen niteliklerle hazırlanır. Kod parçası tam giriş sistemi değildir.
Karşılaştırmalı durumlar
| Durum | Beklenen yaklaşım | Neden? |
|---|---|---|
| Başarılı giriş | Oturum kimliğini yenile | Sabitleme riskini azaltır |
| Süre dolmuş oturum | Yeniden doğrulama | Eski yetki sürmemeli |
| HttpOnly var ama XSS var | XSS düzeltmesini sürdür | Betik işlem gönderebilir |
Uygulama görevi
Ağ araçlarında Set-Cookie başlığını inceleyin. Giriş öncesi ve sonrası kimlik yenilemesini test planına ekleyin.
- İşlemden önce beklenen sonucu ve kabul koşulunu yazın.
- Tek bir değişkeni değiştirin; gözlemi ve kullandığınız ortamı kaydedin.
- Sonucu yukarıdaki karşılaştırma tablosuyla değerlendirin. Uymayan durumda hangi varsayımın yanlış olabileceğini açıklayın.
Sık yapılan hata ve düzeltme yönü
Oturum kimliğini URL'ye eklemeyin; günlük ve paylaşılan bağlantılara sızabilir.
Kendinizi sınayın
HttpOnly bütün XSS etkisini bitirir mi?
Açıklamalı yanıt: Hayır. Çerezi okumayı sınırlar; çalışan betik yine kullanıcının oturumuyla işlem yapabilir.
İlgili derslerle ilerleyin
- PHP süper globalleri: İstek kaynağını doğrulama
- PHP formları: Doğrulama, CSRF ve yanıt
- PHP dizileri: Kayıt sözleşmesi ve eksik alanlar
- PHP döngüleri: Sonlanma ve kaynak sınırları
Teknik başvuru
Bu dersin anlatımı ve örnekleri akademi için yeniden hazırlanmıştır. Aşağıdaki bağlantı, kullanılan teknoloji veya güvenlik yaklaşımının ayrıntılarını doğrulamak için teknik başvurudur.
