SİBERSALDİRİ.COM · KONU ODAKLI DERS
Bu derste kazanacaklarınız
- İstek şeması ile Nesne yetkisi arasındaki ilişkiyi açıklamak.
- “Geçerli JWT bütün nesnelere erişim verir mi?” sorusuna gerekçeli yanıt vermek.
- Örneği değiştirip beklenen ve gözlenen davranışı karşılaştırmak.
Çalışma mantığı ve güven sınırı
İstek şemasını izin verilen alanlarla tanımlayın. İstemcinin owner_id veya role gibi alanları değiştirmesine güvenmeyin. Yanıtı da ihtiyaç duyulan alanlarla sınırlayın. Sayfalama ve kaynak sınırları hizmet dayanıklılığını korur. Sürüm ve eski endpoint envanteri güncel tutulmadığında, yeni arayüz düzeltilirken eski yol açık kalabilir.
Açıklamalı örnek
Aşağıdaki parça kavramı görünür kılar. Komut veya kod içeren örnekleri üretim sisteminde değil, size ait ayrı deneme ortamında değerlendirin. Mimari şema ve politika örnekleri çalıştırılabilir program değildir.
PATCH /profile
Kabul: display_name
Sunucudan gelen: user_id
Reddedilen: role, owner_id
Yanıt: yalnızca gerekli profil alanlarıBeklenen sonuç ve yorumu
Şema alan doğrulamasını iş yetkisiyle birlikte görünür kılar.
Karşılaştırmalı durumlar
| Durum | Beklenen yaklaşım | Neden? |
|---|---|---|
| JWT geçerli başka kayıt | Nesne yetkisiyle reddet | Kimlik genel erişim değildir |
| Fazladan role alanı | İzinli şemaya alma | Mass assignment riski vardır |
| Çok büyük sayfa | Limit uygula | Kaynak tüketimi sınırlanır |
Uygulama görevi
Kendi kaydı ve başka kullanıcı kaydı için aynı isteğin beklenen sonuçlarını tabloya yazın.
- İşlemden önce beklenen sonucu ve kabul koşulunu yazın.
- Tek bir değişkeni değiştirin; gözlemi ve kullandığınız ortamı kaydedin.
- Sonucu yukarıdaki karşılaştırma tablosuyla değerlendirin. Uymayan durumda hangi varsayımın yanlış olabileceğini açıklayın.
Sık yapılan hata ve düzeltme yönü
JSON içindeki her alanı otomatik modele kopyalamayın.
Kendinizi sınayın
Geçerli JWT bütün nesnelere erişim verir mi?
Açıklamalı yanıt: Hayır. Token kimlik ve kapsam bilgisi taşıyabilir; nesneye ilişkin yetki kararı ayrıca uygulanır.
İlgili derslerle ilerleyin
- Broken Access Control: İzin kararını sunucuda kurma
- IDOR: Kayıt kimliğini sahiplikle ilişkilendirme
- JWT: İmzalı beyanı doğru doğrulama
- MFA güvenliği: Akışın bütün yollarını koruma
Teknik başvuru
Bu dersin anlatımı ve örnekleri akademi için yeniden hazırlanmıştır. Aşağıdaki bağlantı, kullanılan teknoloji veya güvenlik yaklaşımının ayrıntılarını doğrulamak için teknik başvurudur.
