SİBERSALDİRİ.COM · KONU ODAKLI DERS
Bu derste kazanacaklarınız
- Form ile Doğrulama ve yetki arasındaki ilişkiyi açıklamak.
- “Geçerli e-posta yetki kanıtı mıdır?” sorusuna gerekçeli yanıt vermek.
- Örneği değiştirip beklenen ve gözlenen davranışı karşılaştırmak.
Çalışma mantığı ve güven sınırı
Durum değiştiren işlemler için uygun yöntem kullanın. CSRF tokenını oturuma bağlayıp doğrulayın; geçersiz istek veritabanı değişikliğine ulaşmamalıdır. Başarılı işlemden sonra yönlendirme sayfa yenilemesinin tekrar riskini azaltır. Bunun ödeme gibi işlemlerde tek başına idempotency sağlamadığını ayrıca değerlendirin.
Açıklamalı örnek
Aşağıdaki parça kavramı görünür kılar. Komut veya kod içeren örnekleri üretim sisteminde değil, size ait ayrı deneme ortamında değerlendirin. Mimari şema ve politika örnekleri çalıştırılabilir program değildir.
<?php
$raw = $_POST['email'] ?? null;
if (!is_string($raw) || !filter_var($raw, FILTER_VALIDATE_EMAIL)) {
http_response_code(422); exit('Geçerli e-posta gerekli');
}
// Ardından CSRF, yetki ve iş kuralı denetlenir.Beklenen sonuç ve yorumu
Hatalı e-posta kayıt aşamasına ulaşmadan reddedilir. Bu parça tam form işlemcisi değildir.
Karşılaştırmalı durumlar
| Durum | Beklenen yaklaşım | Neden? |
|---|---|---|
| E-posta doğru token yanlış | Reddet | İstek bütünlüğü sağlanmaz |
| Token doğru yetki yok | Reddet | CSRF yetki sağlamaz |
| Bütün kontroller doğru | İş kuralına devam | Yan etki en son gerçekleştirilir |
Uygulama görevi
Geçerli e-posta ve eksik CSRF tokenı olan isteğin neden başarısız olması gerektiğini açıklayın.
- İşlemden önce beklenen sonucu ve kabul koşulunu yazın.
- Tek bir değişkeni değiştirin; gözlemi ve kullandığınız ortamı kaydedin.
- Sonucu yukarıdaki karşılaştırma tablosuyla değerlendirin. Uymayan durumda hangi varsayımın yanlış olabileceğini açıklayın.
Sık yapılan hata ve düzeltme yönü
Biçim doğrulamasının işlem yapma yetkisi verdiğini varsaymayın.
Kendinizi sınayın
Geçerli e-posta yetki kanıtı mıdır?
Açıklamalı yanıt: Hayır. Veri biçimiyle kullanıcının belirli nesne üzerinde işlem hakkı farklı kontrollerdir.
İlgili derslerle ilerleyin
- PHP oturumları: Çerezden kimlik yaşam döngüsüne
- PHP süper globalleri: İstek kaynağını doğrulama
- PHP dizileri: Kayıt sözleşmesi ve eksik alanlar
- PHP döngüleri: Sonlanma ve kaynak sınırları
Teknik başvuru
Bu dersin anlatımı ve örnekleri akademi için yeniden hazırlanmıştır. Aşağıdaki bağlantı, kullanılan teknoloji veya güvenlik yaklaşımının ayrıntılarını doğrulamak için teknik başvurudur.
