A webfejlesztés legdrágább biztonsági hibája, ha a biztonságot a kiadás előtti utolsó ellenőrzőlistának tekintik. A hitelesítés, a jogosultságkezelés és a bemeneti adatok ellenőrzése az architektúra szintjén dől el. A később hozzáadott javítás mindig egy korábbi döntés árát fizeti meg.
SQL-injektálás ellen készített utasításokat (prepared statements) használjon, és soha ne fűzze össze a felhasználói bemenetet a lekérdezés szövegével. XSS ellen a kimenetet a kontextusának megfelelően kódolja: a HTML-törzs, az attribútumok és a JavaScript eltérő szabályokat igényel. CSRF ellen minden állapotot módosító kérésnél ellenőrizzen egy tokent. A munkamenet-sütiknél állítsa be a HttpOnly, Secure és SameSite attribútumokat. A naplókba ne kerüljön jelszó vagy token, a függőségeket pedig rendszeresen frissítse. Ezek a lépések más-más támadási osztályt zárnak ki, és egyik sem pótolja a többit.
Hasonló projektet tervez?
Közösen át tudjuk beszélni, hogyan jelenik meg a cikkben tárgyalt téma az ön termékében.
