SİBERSALDİRİ.COM · KONU ODAKLI DERS
Bu derste kazanacaklarınız
- Origin ile Paylaşım politikası arasındaki ilişkiyi açıklamak.
- “CORS bütün istekleri durdurur mu?” sorusuna gerekçeli yanıt vermek.
- Örneği değiştirip beklenen ve gözlenen davranışı karşılaştırmak.
Çalışma mantığı ve güven sınırı
Origin şema, host ve port bileşimidir. Kimlik bilgisi taşıyan kullanımda izin verilen origin açık ve güvenilir biçimde seçilmelidir. Gelen Origin'i kontrolsüz yansıtmayın; ön uç ihtiyacını kesin listeyle eşleyin. CORS düzelse bile CSRF ve nesne yetkisi ayrı kalır. Önbellek davranışında origin'e göre değişen yanıtları da düşünün.
Açıklamalı örnek
Aşağıdaki parça kavramı görünür kılar. Komut veya kod içeren örnekleri üretim sisteminde değil, size ait ayrı deneme ortamında değerlendirin. Mimari şema ve politika örnekleri çalıştırılabilir program değildir.
Politika örneği:
İzinli origin: https://app.example.com
İzinli yöntem: GET
Kaynak yetkisi: sunucuda ayrıca
İzinli olmayan origin: yanıt okumasına izin yokBeklenen sonuç ve yorumu
Politika tarayıcı okuma erişimini sınırlar; API kimlik kuralını kaldırmaz.
Karşılaştırmalı durumlar
| Durum | Beklenen yaklaşım | Neden? |
|---|---|---|
| İzinli origin | Tarayıcı paylaşımı | API yetkisi ayrıca gerekir |
| Rastgele Origin yansıyor | Açık izin listesi | Güven sınırı belirsizdir |
| Curl istek gönderiyor | Beklenen sınırı anla | CORS genel ağ engeli değildir |
Uygulama görevi
Aynı URL'nin farklı portlarının neden farklı origin oluşturduğunu örnekleyin.
- İşlemden önce beklenen sonucu ve kabul koşulunu yazın.
- Tek bir değişkeni değiştirin; gözlemi ve kullandığınız ortamı kaydedin.
- Sonucu yukarıdaki karşılaştırma tablosuyla değerlendirin. Uymayan durumda hangi varsayımın yanlış olabileceğini açıklayın.
Sık yapılan hata ve düzeltme yönü
CORS ayarını API anahtarı veya CSRF kontrolü yerine kullanmayın.
Kendinizi sınayın
CORS bütün istekleri durdurur mu?
Açıklamalı yanıt: Hayır. Temel rolü tarayıcıdaki originler arası yanıt paylaşımını düzenlemektir.
İlgili derslerle ilerleyin
- CSRF: Oturumla taşınan yetkiye istek bağlama
- API güvenliği: Nesne, işlem ve alan yetkisi
- HTTP ve HTTPS: Anlam ile aktarım koruması
- React: Bileşen, veri akışı ve güvenli gösterim
Teknik başvuru
Bu dersin anlatımı ve örnekleri akademi için yeniden hazırlanmıştır. Aşağıdaki bağlantı, kullanılan teknoloji veya güvenlik yaklaşımının ayrıntılarını doğrulamak için teknik başvurudur.
