स्पष्ट 3 सुरक्षा नियम

नियम संख्या १। सभी प्राधिकरण कुकीज़ HttpOnly करें

HttpOnly ध्वज के साथ कुकीज़ ब्राउज़र कोड को दिखाई नहीं देते हैं, लेकिन केवल सर्वर पर भेजे जाते हैं। व्यवहार में, आपको लगभग ग्राहक से उनकी सामग्री प्राप्त करने की आवश्यकता नहीं है (यदि किसी कारण से आपके पास ऐसी आवश्यकता है, तो प्राधिकरण वास्तुकला पर पुनर्विचार करें, सबसे अधिक संभावना है कि कुछ गड़बड़ है)। लेकिन हमलावर जिसने XSS - और XSS को किसी तरह या कहीं और कहीं पाया - प्राधिकरण कुकीज़ पर HttpOnly की अनुपस्थिति बहुत खुशी लाएगी।

नियम संख्या २। एक यादृच्छिक कुंजी के साथ सुरक्षा, POST के माध्यम से कार्य करें

जीईटी की जानकारी मिल रही है। पोस्ट - एक कार्रवाई का निष्पादन। यह केवल प्रतिमान की सुंदरता और कोषेर का सवाल नहीं है, यह एक व्यावहारिक सुरक्षा मुद्दा है, क्योंकि उपयोगकर्ता की स्पष्ट भागीदारी के बिना जीईटी का प्रदर्शन किया जाता है, और ब्राउज़र निश्चित रूप से आपको एक संदिग्ध पोस्ट अनुरोध के लिए पूछेगा।

उदाहरण के लिए, यदि आपका लॉगआउट गोलाकार / ऑरेक्ट / लॉगआउट पर जाकर किया जाता है, तो प्रत्येक उपयोगकर्ता, अदृश्य छवि को देख रहा है <img src = "/ schem / logout">, अचानक लॉग आउट हो जाएगा। और यह सबसे हानिरहित है, क्योंकि वहाँ तस्वीरें हो सकती हैं "/ टिप्पणी / जोड़ें", "/ आइटम / वोट" या यहां तक ​​कि "/ व्यवस्थापक / हटाएं-इन-उपयोगकर्ता"। यदि आपकी भाषा और रूपरेखा POST और GET से डेटा को मिलाती है (और इस तरह के बहुत सारे डेटा हैं), तो कार्रवाई URL के लिए हमेशा अनुरोध प्रकार की जांच करें।

आपको कुकी के समान कुंजी के साथ क्लाइंट से भेजे गए अनुरोध से यादृच्छिक कुंजी की तुलना करते हुए अनुरोध स्रोत के रेफरर की जांच करनी चाहिए या बेहतर करना चाहिए।

नियम संख्या ३। ब्राउज़र पर भरोसा न करें

सर्वर साइड पर, हमेशा अपने जावास्क्रिप्ट कोड को मानें जैसे कि यह सब, आपके सबसे नफरत वाले दुश्मन द्वारा लिखे गए पहले से आखिरी पत्र तक, जो आपकी साइट को तोड़ना चाहता है, आपके डेटा की अखंडता का उल्लंघन करता है और आपकी पत्नी को गुलामी में बेच देता है। इसके अलावा, कभी-कभी यह वास्तव में ऐसा है।

हमेशा मदद करने के लिए खुश होकर,
आपके के। ओ।