Web tizimlar ularni qurish arxitekturalari va modeli

Oldini olish: Server tomonida avtorizatsiya har doim amalga oshirilishi kerak. Hech qanday istisno yoki zaifliklar jiddiy muammolarga olib kelmaydi.
Umumiy web-xavfsizlik xatosi №8: Saytlararo so'rovni soxtalashtirish (CSRF). Bu boshqa tomonidan brauzerni aldab, Masalan, uchinchi tomon sayti foydalanuvchi brauzerini tajovuzkor uchun biror narsa qilish vakolatidan suiiste'mol qilishga majbur qilishi mumkin. CSRF bo'lsa, uchinchi tomon sayti brauzeringizdan cookie/sessiyangiz yordamida maqsadli saytga (masalan, bankingiz) so'rovlar yuboradi. Agar siz, masalan, bankingiz bosh sahifasidagi bitta yorliqda tizimga kirgan boʻlsangiz va ular ushbu hujumga qarshi himoyasiz boʻlsa, boshqa yorliq brauzeringiz tajovuzkor nomidan oʻz hisob maʼlumotlarini notoʻgʻri ishlatishiga olib kelishi mumkin, natijada oʻrinbosar muammosi chalkashib ketishi mumkin. Deputat - bu tajovuzkor ko'rsatma bergan narsani qilish uchun o'z vakolatlarini (sessiya cookie-fayllari) suiiste'mol qiladigan brauzerdir.
Oldini olish: Maxfiy tokenni uchinchi tomon saytidan kira olmaydigan yashirin shakl maydonida saqlang. Albatta, bu yashirin maydonni har doim tekshirishingiz kerak. Ba'zi saytlar maxfiy sozlamalarni o'zgartirganda ham parolingizni so'raydi (masalan, parolni eslatuvchi elektron pochta).
Umumiy veb-xavfsizlik xatosi №9: Ma'lum zaifliklari bo'lgan komponentlardan foydalanish. Sarlavha hammasini aytadi. Men buni yana ko'proq texnik xizmat ko'rsatish, tartibga solish muammosi sifatida tasniflagan bo'lardim. Yangi kodni kiritishdan oldin, biroz tadqiqot qiling, ehtimol, bir oz audit qiling. GitHub yoki biron bir forumda tasodifiy odamdan olgan koddan foydalanish juda qulay bo'lishi mumkin, ammo web-xavfsizlikda jiddiy zaiflik xavfi yo'q. Saytlar egalik qilish (ya’ni, begona odam tizimga ma’muriy kirish huquqini qo‘lga kiritish) dasturchilar zaifligi uchun emas, balki uchinchi tomon dasturiy ta’minoti ishlab chiqarishda yillar davomida tuzatilmay qolgani uchun. Bu, masalan, WordPress plaginlari bilan har doim sodir bo'ladi. Dastur o'rnatilganda dasturiy ta'minotni ishlab chiqish tugamaydi. Hujjatlar, testlar va uni qanday saqlash va yangilab turish bo'yicha rejalar bo'lishi kerak, ayniqsa u uchinchi tomon yoki ochiq manba komponentlarini o'z ichiga olgan bo'lsa.