Безопасность и данные — страница 2
XSS, CSRF, SQL-инъекции, загрузка файлов, доступы, зависимости, секреты, приватность и согласия
Материалы
- Идентичность, полномочия и проект «Пропуск»
Разделить приложение, провайдера идентичности и браузер.
- Локальный Keycloak и учебный realm
Создать декларативный realm, пользователей и клиент приложения.
- OIDC Discovery и проверка провайдера
Получить конфигурацию строго заданного издателя.
- Начало входа: state, nonce и PKCE
Связать попытку входа с браузером и создать одноразовые параметры.
- Обмен кода и проверенный профиль
Обменять code с verifier и получить подтверждённые claims.
- Серверная сессия и cookie браузера
Заменить временную попытку входа новой локальной сессией.
- Роли пользователя и доступ к операциям
Передавать роли в проверенных claims и защищать серверную операцию.
- Изменение данных и защита от CSRF
Проверять метод, Origin и токен перед сохранением заявки.
- Два приложения и единый вход
Добавить второй клиент с отдельными redirect URI и cookie.
- Локальный выход и завершение SSO
Разделить удаление локальной сессии и RP-initiated logout.
- Обновление токенов и срок полномочий
Обновить токены по серверному сроку и сохранить границу отзыва.
- Регистрация passkey у провайдера
Включить passwordless-политику и направить пользователя на регистрацию.
- Восстановление доступа и запасной ключ
Описать второй passkey, резервный пароль и отзыв утраченного ключа.
- Эксплуатационный контракт единого входа
Зафиксировать HTTPS, внешнюю сессию, конфигурацию и журнал событий.
- Безопасные зависимости и сборки веб-проекта
Десять уроков лаборатории «Контур выпуска»: дерево, скрипты, обновления, состав, CI, происхождение и восстановление.
- Граф зависимостей и границы доверия
Построить карту того, какой пакет участвует в установке, сборке и результате.
- Lockfile, версии и целостность архива
Сопоставить пожелание package.json с конкретным деревом и отпечатками.
- Скрипты установки и разрешения npm v12
Описать проверяемую политику выполнения lifecycle-скриптов.
- Разбор обновления до установки пакетов
Сохранить предметное решение о новом пакете и изменении дерева.
- Уязвимости и достижимость кода
Отделить найденную запись advisory от реального пути воздействия.
- SBOM и состав выпуска
Связать перечень компонентов с конкретным артефактом и стадией.
- Изоляция установки и сборки в CI
Разделить получение зависимостей и доступ к полномочиям выпуска.
- Trusted publishing и краткоживущие полномочия
Описать узкое отношение доверия между CI и реестром без публикации.
- Происхождение сборки и проверка пакета
Различить integrity, подпись, provenance и содержательное ревью.