في هذه المقالة
وثّق قواعد الصلاحيات
تشمل قائمة OWASP لمخاطر API أخطاء التصريح على مستوى السجلات والخصائص والوظائف. راجع من يقرأ السجل والحقول التي يغيرها والإجراءات التي يسمح بها دوره. نوصي بالبدء بمصفوفة للأدوار والإجراءات تحدد القرار في كل حالة. ضمّن الزائر وعميلًا من منشأة أخرى وموظفًا بصلاحيات محدودة.
OWASP — API Security Top 10 (2023)اختبر الخادم ضمن التصريح
في بوابة عملاء، يتحقق الاختبار المصرح به من إمكانية وصول العميل الأول إلى طلب الثاني بتغيير المعرّف، واستدعاء المستخدم العادي لإجراء إداري، وتغيير ملكية السجل عبر حقل مرسل. استخدم بيئة متفقًا عليها وسجلات مخصصة للاختبار. اجمع أقل قدر لازم من الأدلة واحصر الوصول إليها. قد تخفي الواجهة الإجراء بينما تقبله API؛ راجع الحدين معًا.
راجع الاستجابات وحدود الموارد
حدد لكل استجابة الحقول التي يحتاج إليها المستخدم. راجع الاستجابات الناجحة والأخطاء بحثًا عن ملاحظات داخلية أو بيانات شخصية زائدة. اتفق على حدود حجم الطلب وترقيم النتائج والعمليات المكلفة. تشير OWASP إلى استهلاك الموارد دون قيود بوصفه خطرًا. وتشمل قائمتنا العملية التحقق من انتهاء مهلة الربط وإعادة المحاولة وتكرار الحدث.
OWASP — API Security Top 10 (2023)ضمّن التكاملات الفعلية
احصر الواجهات التي يستدعيها التطبيق، مثل الهوية والتخزين والدفع والمراسلة عند وجودها. حدّد من يتحقق من الأحداث الواردة وكيف تُسجل الإخفاقات. تحقق من عدم قدرة المستخدم على توجيه طلب من الخادم إلى وجهة عشوائية. اختبر المسار من المتصفح إلى الحفظ ثم النتيجة، مع استجابة إخفاق من المزود. نجاح خطوة وحدها لا يكفي لإثبات اكتمال المسار.
أعد اختبار قرار الوصول
دليل OWASP لاختبار أمن الويب مرجع لتخطيط اختبارات التطبيقات. عيّن مسؤولًا لكل نتيجة وحدد السلوك المتوقع. تعيد المعالجة اختبار الطلب غير المصرح به للتحقق من رفضه، وتتحقق أيضًا من استمرار المسار الصحيح للمستخدم المخوّل. وثّق النسخة المنشورة وفجوات التغطية ليكون التقرير مفيدًا لقرار الإطلاق.
OWASP — Web Security Testing Guideيتطلب الاختبار تصريحًا مكتوبًا وحدودًا متفقًا عليها. يصف التقييم نطاقًا ووقتًا محددين، ولا يضمن غياب جميع الثغرات.
ناقش مشروعك معنا