Szeroka Perspektywa Full-Stack Web Developmentu: Checklista

0:00Proponuję, abyśmy podsumowali sobie temat

0:02walidacji i zwrócili uwagę na elementy, na które trzeba zwracać uwagę przy rozwoju

0:07aplikacji i kontroli przepływu informacji wewnątrz nich.

0:11Jak się pewnie domyślasz, pierwsza zasada

0:13dotyczy tego, aby z założenia nie ufać żadnym danym.

0:17Nawet jeżeli komunikacja odbywa się

0:19wewnątrz aplikacji, to tam również mogą wystąpić błędy, nawet niecelowe, które

0:23mogą doprowadzić do niepożądanych błędów, w tym nawet utraty danych.

0:28Następnie takim pierwszym etapem walidacji danych jest upewnienie się, że nie

0:32przekraczają określonych wartości, bo nierzadko złośliwe skrypty wykorzystują

0:37fakt, że nie ograniczamy przykładowo długości posta, do którego możemy

0:41wprowadzić emaile i tym samym też narażamy naszą aplikację na różnego rodzaju ataki.

0:46Podobnie też poza długością warto dbać o zakresy.

0:49Przykładowo, jeżeli w koszyku z zamówieniem przekażemy minus 1/3 liczbie

0:54produktów, to naturalnie musisz brać to pod uwagę.

0:57No i ostatecznie mamy jeszcze kontrole formatu danych, czyli upewnienie się,

1:02że dane trafiają do nas w formie, której oczekujemy i którą wspieramy.

1:06Następnie mamy wymagania dotyczące nagłówków i tutaj również warto upewnić

1:11się, że nasza aplikacja wspiera nawet bardzo proste nagłówki, takie jak

1:14określenie typu danych wysyłanego zapytania.

1:17Jest to ważne ze względu na to, że

1:19przykładowo brak content type ustawionego na np.

1:22application flash Jameson otwiera furtkę

1:25na ataki, które symulują wysyłanie danych, które mogą zostać zinterpretowane jako GN.

1:30Następnie mamy kontrolę typów i mam tutaj

1:33na myśli nie tylko i kontrolę typów na poziomie kompilacji,

1:37ale także upewnienie się, że do naszej aplikacji w trakcie jej działania mogą do

1:41niej trafić wyłącznie dane typu, którego się spodziewamy.

1:45Coś takiego pokazałem na przykładzie klasy D.

1:48Tutaj już będziemy sobie jeszcze mówić.

1:50Następnie w przypadku przesyłania jakichkolwiek plików, czy to graficznych,

1:54tekstowych czy jakichkolwiek, musimy koniecznie sprawdzać ich MIME type.

1:58Ze względu na to, że jeżeli o to nie

2:00zadbamy, pliki jednego typu mogą podszywać się pod pliki drugiego typu.

2:04Czasem jest to celowe, czasem nie, ale warto to sprawdzić.

2:07Następnym punktem są wyrażenia regularne.

2:10I tutaj zwracam uwagę na przygotowane

2:11przeze mnie warsztaty, które umożliwi Ci poznanie ich w stopniu wystarczającym do

2:16tego, aby wykorzystywać je w codziennej pracy.

2:18Zaznaczę tylko, że warto stosować je

2:21bardzo rozważnie ze względu na to, że z jednej strony obniżają czytelność kodu, a

2:25z drugiej strony napisanie wyrażenia regularnego, które np.

2:28źle realizuje dane jest naprawdę bardzo proste.

2:31Dalej w kolejce mamy również przykład, o

2:33którym zdarzyło mi się już mówić, czyli odrzucenie wszelkich dodatkowych

2:37informacji, które zostają dołączone do zapytania.

2:39Podobnie też zwracam uwagę na to

2:42weryfikowanie, czy dany użytkownik ma też dostęp do wykonania określonej czynności i

2:47też uwzględnienie w tym tego, aby sprawdzić, czy czasem nie próbuje

2:50przypisać nieswoich danych do nie swojego konta.

2:53Kolejnym krokiem jest tutaj ograniczenie

2:55rozmiaru całego zapytania i tutaj nie mam na myśli tylko pojedynczych pól, ale

3:00łącznej ilości danych, które można wysłać w jednym zapytaniu.

3:03Coś takiego możemy skonfigurować zarówno

3:06na poziomie aplikacji, jakie również na poziomie serwera.

3:09Tak naprawdę jedno i drugie ustawienie powinno być tutaj wykorzystywane.

3:13Kolejnym wątkiem jest w zasadzie nie tyle

3:16walidacja, co zabezpieczanie się na wypadek błędów walidacji w taki sposób, że

3:20w momencie gdy wystąpią, dodajemy je do naszego pliku logów.

3:24Coś takiego bardzo przydaje się w sytuacji, gdy później na przestrzeni czasu

3:28chcemy zweryfikować to, czy nasza aplikacja działa poprawnie lub też

3:32ewentualnie dowiedzieć się, co działo się w sytuacji, gdy np.

3:35z jakiegoś powodu aplikacja przestała

3:37działać, a potem okazało się, że ktoś próbował się do niej dostać.

3:41Zatem z całą pewnością warto o to zadbać i tym również będziemy się jeszcze zajmować.

3:46Kolejnym wątkiem jest nielubiana przez wszystkich cecha, natomiast warto ją

3:50rozważyć szczególnie w momencie, gdy mamy do czynienia z publicznymi formularzami,

3:54które chcemy zabezpieczyć przed różnego rodzaju botami.

3:58Dodam jeszcze, że najnowsze wersje CA działają również w taki sposób, że nie

4:02wymagają od użytkownika za każdym razem uzupełniania jakichś quizów, tylko

4:06wyświetlają takie okno tylko wtedy, gdy nie ma innego wyjścia.

4:10Kolejnym wątkiem jest już temat z zakresu

4:12typowo security, a konkretnie wykorzystanie tokenów zabezpieczającymi

4:16przed atakami CS, o których również będziemy mówić.

4:20W każdym razie na ten moment zapamiętaj tylko tyle, że istnieje coś takiego jak

4:24kod oraz CSS i są to tematy z zakresu security, które należy brać pod uwagę w

4:30momencie, gdy w Twojej aplikacji pojawiają się jakieś dane.

4:33No i kolejny wątek to wspomniany już kod,

4:36czyli zabezpieczenie się na wypadek zapytań z innych domen.

4:39I tutaj warto to brać pod uwagę ze względu na to, że bardzo często spotykam się z

4:43przykładami tutoriali, które rozwiązują problem w taki sposób, że całkowicie

4:48eliminują zabezpieczenie przed takimi atakami.

4:51W związku z tym, nawet jeżeli masz

4:53potrzebę komunikowania się pomiędzy domenami, to zawsze upewnij się, że nie

4:57wyłączasz jej całkowicie, tylko wskazujesz, które.

5:00Są upoważnione do kontaktu z Twoją aplikacją.

5:03I ostatni temat być może oczywiste dla

5:05niektórych osób, natomiast warto zadbać o to, aby usuwać nieużywane już ścieżki.

5:10Łatwo o nich zapomnieć, a w przypadku modyfikacji jakichś innych ustawień

5:14aplikacji można doprowadzić w ten sposób do sytuacji, w której użytkownicy uzyskają

5:19przypadkowy dostęp do danych, do których dostępu mieć nie powinni.

5:23I tak właśnie wygląda pełna lista przynajmniej tematów, które mi przyszły do

5:27głowy w temacie walidacji danych, które trafiają do naszej aplikacji.

5:31Natomiast pamiętaj o tym, że lista

5:33security jest zdecydowanie większa i pomimo tego, że jako full stack

5:37developerzy mamy do opanowania wiele różnych obszarów, tak z pewnością temat

5:41security warto znać przynajmniej na poziomie, który da nam świadomość tego, co

5:46grozi naszej aplikacji oraz tego jak możemy się przed tym zabezpieczyć.

5:50Naturalnie tutaj nie mówimy o budowaniu

5:52jakiś systemów bankowych, ale chodzi po prostu o unikanie tych najbardziej

5:56popularnych błędów, które często nawet nie muszą wiązać się z atakami na naszą

6:00aplikację, ale na zwykłe pomyłki użytkowników bądź też nas samych.

6:04Niemal wszystkie wymienione na tej liście tematy będą jeszcze poruszane na

6:08praktycznych przykładach lub też już do tej pory zdążyliśmy o nich wspomnieć.

6:12Jeżeli jednak któryś z nich Cię zaciekawił, to polecam również poczytać

6:16jakieś artykuły na ich temat, bądź pooglądać filmy na youtubie.

6:19Aczkolwiek na koniec dnia, tak jak

6:21powiedziałem, jeszcze zobaczymy je w praktyce.

6:23Dzięki za uwagę i do usłyszenia za chwilę.