Szeroka Perspektywa Full-Stack Web Developmentu: Walidacja po stronie back-endu

0:01W tej sekcji kontynuujemy temat walidacji

0:03danych, a konkretnie przesuniemy się na część backend ową, gdzie zmodyfikowałem

0:08lekko kod w taki sposób, aby uwzględniał tzw.

0:11Data transfer object, czyli detal, który

0:14jest niczym innym jak klasą określającą strukturę danych.

0:18O tym co to dokładnie jest, jak to budować i jak wykorzystywać.

0:21Będziemy jeszcze mówić.

0:23Natomiast na ten moment musisz wiedzieć tylko tyle, że ta klasa pełni dla mnie

0:27rolę aligatora oraz też zwraca odpowiednie błędy w przypadku, gdy one wystąpią.

0:32Zatem nie ma potrzeby, aby np.

0:34pisać tutaj FR i upewniać się, że

0:36zawartość komentarza istnieje i że nie zawiera jakichś dodatkowych danych itd.

0:41W zamian po prostu określam strukturę

0:43informacji, która ma trafić do tego endpoint i następnie mogę ją wykorzystać.

0:48W moim konkretnie przypadku w tym momencie mówimy tylko o jednym polu, ale celowo

0:52wykorzystałem tutaj operator spread do tego, aby przekazać do mojego serwisu

0:56wszystkie informacje, które zostały przesłane na ten endpoint.

1:00Podobnie też w tym miejscu moglibyśmy

1:02zadbać o to, aby zapisać identyfikator oraz wszystkie dane z komentarza.

1:06Teoretycznie wszystko będzie w porządku, zapis jest bardzo elegancki.

1:10W związku z tym przetestujemy sobie tylko, czy rzeczywiście wszystko tutaj działa.

1:15Teoretycznie wszystko jest tutaj w porządku.

1:17Jeżeli jednak spróbujemy tutaj kombinować

1:20lub też przypadkowo po stronie klienta popełnimy błąd, który sprawi, że prześlemy

1:24tutaj dane jakiegoś innego typu, no to otrzymamy odpowiedź.

1:28400 Błędne zapytanie informujące nas o

1:31tym, że właśnie wystąpił błąd oraz dodatkowo mamy tutaj informację o tym, co

1:36w zasadzie się wydarzyło i te dane mogą również zostać zmodyfikowane i dostosowane

1:41do tego, aby wyświetlić je bezpośrednio użytkownikowi.

1:44Zatem poszliśmy tutaj krok dalej w tą walidację, ponieważ nie tylko zadbaliśmy o

1:49to, aby na serwer trafiały dane odpowiedniego typu, ale również o to,

1:53abyśmy zwracali odpowiednią strukturę informacji o błędach.

1:57Wygląda na to, że zrobiliśmy tutaj całkiem

1:59dobrą robotę, tym bardziej, że nawet jeżeli przekażemy tutaj pusty ciąg znaków,

2:04czyli teoretycznie typ się zgadza, ale wartość jest pusta, to również zapytanie

2:09zostanie odrzucone z informacją o tym, że ta wartość pusta być nie może.

2:13Teoretycznie wszystko jest tutaj w

2:15porządku, ale jeżeli jednak będziemy nieco bardziej kreatywni i np.

2:20zamienimy user chyba np.

2:2210, no to może okazać się, że będziemy w

2:25stanie przypisywać komentarze do innych użytkowników.

2:29Jak widzisz, dokładnie tak się stało.

2:31Coś takiego wynika z faktu, że pomimo

2:33tego, że określiliśmy strukturę danych, których spodziewamy się otrzymać, to też

2:38wykorzystaliśmy wszystko co do nas trafiło i zapisaliśmy je w naszej bazie danych.

2:44Oznacza to, że pomimo tego, że zadbaliśmy o odpowiednią walidację i tak nasza

2:48aplikacja posiada pewne luki, które ktoś sprytny może wykorzystać.

2:52W przypadku nas, że jest, naprawienie tego

2:54problemu jest niesamowicie proste, ponieważ wystarczy wykorzystać Validation

2:58pipe i ustawić flagę wait na TODO i w takiej sytuacji wszystko, co nie

3:03zostanie uwzględnione w obiekcie datą zostanie odrzucone.

3:06W rezultacie, jeżeli spróbuje ponownie

3:08dodać ten komentarz, no to na szczęście tym razem pole User ID zostanie odrzucone.

3:14Ale co by było, gdyby okazało się, że to

3:16pole User ID jest zdefiniowane w naszym obiekcie Create Komentator.

3:21Teoretycznie w końcu chcielibyśmy

3:23przypisać identyfikator użytkownika do konkretnego komentarza.

3:26Oznacza to, że w takiej sytuacji nasz Dead

3:29Out tutaj nie zadziała i dane zostaną poprawnie zapisane, więc nic nie stoi na

3:33przeszkodzie, abym tym razem zmienił sobie identyfikator na innego użytkownika.

3:38No i nasza walidacja przestaje działać.

3:40Dlatego z tego powodu za każdym razem, gdy masz do czynienia z dodawaniem bądź

3:45jakąkolwiek edycją danych, to w momencie, gdy Twoja aplikacja będzie już obsługiwać

3:50uwierzytelnienie połączenia, to tak naprawdę będziesz w stanie nawet sprawdzić

3:54prostym efekt, czy identyfikator użytkownika, który wykonuje zapytanie jest

3:59równy identyfikator, który został podany przy tworzeniu komentarza.

4:04Jeżeli coś się tutaj nie zgadza, to

4:05naturalnie możemy poinformować o tym użytkownika.

4:08I tak zresztą nawet w tym momencie się

4:10stanie, no bo oczywiście nie jesteśmy zalogowani, ale zwróć uwagę, że nadal

4:14otrzymaliśmy poprawną odpowiedź o odpowiedniej strukturze.

4:17Oznacza to, że rzeczywiście nasze

4:19zabezpieczenie działa i tylko musimy zawsze wziąć pod uwagę to, czy użytkownik,

4:23który dokonuje jakichkolwiek zmian ma faktycznie po pierwsze uprawnienia.

4:28Jeżeli posiadamy system uprawnień w naszej

4:30aplikacji lub też ewentualnie czy po prostu edytuje swoje zasoby, o ile

4:34oczywiście nie jest uprawniony do tego, aby edytować zasoby innych.

4:38Zatem jeżeli chodzi o walidację danych po stronie serwera, to to oczywiście różni

4:42się od wykorzystanych przez Ciebie narzędzi.

4:45Natomiast musisz pamiętać o tym, aby

4:47kontrolować to co do Ciebie dociera i w jakiej formie, czy te dane przyjmujesz

4:51oraz czy są odpowiedniego typu i też czy osoba, która wykonuje zapytanie ma prawo

4:56wykonywać tą konkretną akcję i też nadpisać ustalone dane.

5:01Dodatkowo też dobrze byłoby przefiltrować szczególnie te pola, które chociażby

5:05zawierają długie pola tekstowe, które umożliwiłyby użytkownikowi np.

5:09wstrzyknięcie jakiegoś niepożądanego skryptu.

5:12Jeżeli chodzi o taką formę zabezpieczeń, będziemy sobie jeszcze o niej mówić,

5:16natomiast po prostu musisz mieć na uwadze fakt, że wszystko, co trafia do Twojej

5:20aplikacji backend owej jest potencjalnie niebezpieczne.

5:24Na koniec dnia jest jeszcze jedna warstwa, której również w tym momencie już nie

5:28będziemy poruszać, ale chodzi o warstwę bazodanowe.

5:32Nie chcę już za bardzo komplikować tego

5:34tematu, tym bardziej, że będziemy o nim jeszcze mówić, ale musisz wiedzieć, że w

5:38momencie zapisywania informacji do bazy danych tam również określamy strukturę

5:42samej tabeli oraz danych, które mogą zostać w niej zapisane.

5:46I teraz przykładowo, jeżeli w tabeli

5:48komend w naszej bazie danych uwzględnimy kolumnę content, no to musimy określić jej

5:53typ wskazujący na to, że możemy przechowywać w niej wartości tekstowe, ale

5:57też warto upewnić się, że ich długość nie jest nieskończona.

6:01Czyli np.

6:01w przypadku komentarza możesz ograniczyć go np.

6:04do 500 znaków i tym samym też zadbać o to, aby użytkownik, które próbuje dodać

6:09dłuższy komentarz został o tym fakcie poinformowany.

6:13Zatem patrząc na naszą aplikację ze strony klienta oraz serwera.

6:16Jak widzisz temat walidacji jest o tyle istotny, że zachodzi w wielu miejscach,

6:21pomimo tego, że tak naprawdę weryfikujemy dokładnie te same dane.

6:25Po stronie frontendu mamy tutaj feedback do użytkownika, a po stronie backendu

6:29musimy upewnić się, że struktura danych jest poprawna oraz że użytkownik ma prawo

6:34zapisywać informacje, które próbuje do niej przesłać.

6:38Z tego wszystkiego robi się tutaj wiele

6:39kroków, tymbardziej, że musimy dbać też o takie szczegóły jak struktura odpowiedzi,

6:44sensowność komunikatów, które wracają do klienta, czy też chociażby struktura

6:48odpowiedzi w momencie, gdy przekazywane dane są poprawne.

6:52W zależności od tego jak przygotujemy całą

6:54tą komunikację będzie zależało to jak łatwo będzie się nam rozwijało tą

6:58aplikację i też jak zadowoleni będą użytkownicy, którzy po prostu będą

7:03informowani o ewentualnych błędach, które sami będą popełniać, bądź też na wypadek

7:08niedostępności naszej aplikacji również zostaną o tym stosownie poinformowani.

7:13Mam nadzieję, że to wszystko jest dla

7:14Ciebie zrozumiałe, ale oczywiście jeżeli chodzi o szczegóły i praktykę będziemy

7:19sobie jeszcze do tego niejednokrotnie wracać.

7:21A teraz z mojej strony to wszystko, więc zapraszam Cię do kolejnych materiałów.