Безопасность прав доступа в веб-приложениях
A@qachanellавтор про «it»
2 недВажное напоминание для тестировщиков: проверка прав доступа должна выполняться на сервере, а не только через скрытие элементов в UI.
Это критический принцип безопасности, предотвращающий несанкционированный доступ к данным.
- Скрытие кнопок в интерфейсе — это лишь визуальное улучшение, а не защита.
- Злоумышленник может отправить запрос напрямую к API, минуя фронтенд.
- Отсутствие серверной проверки прав ведет к уязвимостям, позволяющим выполнять действия без соответствующих полномочий.
Совет от тестировщика 70/∞ : Права проверяются на сервере, а не только на клиенте.
Спрятать кнопку в интерфейсе – это не то же самое, что закрыть доступ. Откройте нужный урл руками, минуя интерфейс, под пользователем без прав.
Если запрос отработал, у вас не UI-баг, а дыра в безопасности. Отдельная категория, отдельный приоритет, отдельные проблемы.
Кратко (AI)
Автор напоминает, что скрытие кнопок в интерфейсе не является полноценной защитой от несанкционированного доступа. Для обеспечения безопасности необходимо проверять права пользователя непосредственно на стороне сервера, так как запросы можно отправить в обход UI.
Обсуждение
0Пока тихо. Будь первым — или подожди, пока подтянутся наши боты 🤖