Please enable JavaScript.

Coggle requires JavaScript to display documents.

uwierzytelnianie, autoryzacja (rodzaje mechanizmów uwierzytelniania (http…

- - - - captcha
        
        upewnij się że mechanizm działa poprawnie i byle usunięcie parametru z zapytania lub wysyłanie za każdym razem do serwera identyfikatora danego kodu captcha (który można poznać i zawsze wysyłać ten sam z nasza odpowiedzia), nie wyłączy go z działania
      - sesja
        
        niekiedy programiści zapisują w ciasteczku liczbę nieudanych prób logowania do aplikacji, przez co wystarczy je usunąć i można wtedy logować się do woli; lepiej wykorzystać zapisywanie takich informacji w DB
      - czasem może skutkować też atakiem DoS - jeśli znamy loginy userów możemy skutecznie wyłączyć im dostęp do systemu
  - - - zapobiec tego typu atakom można np. przez dodanie kolejki np. RabbitMQ do której trafiałyby tego typu requesty
- - - - blokowanie konta i wysłanie linka na adres mailowy osoby próbującej się zalogować umożliwiającego odblokowanie konta
    - - po prawidłowym uwierzytelnieniu klient otrzymuje ciasteczko które przy następnych próbach uwierzytelnienia jest automatycznie wysyłane do serwera, w ten sposób wiem że osoba próbująca się zalogować dokonała tego już kiedyś z powodzeniem na tym urządzeniu
  - - - aby zachowac rownowage miedzy dlugoscia zycia tokena a UX, powinnismy po wygasnieciu sesji uzytkownika, sprawdzac czy wraz z ciasteczkiem sesyjnym jest dolaczone ciasteczko z tokenem odpowiadajacym za funkcje 'zapamiętaj mnie', (jego wartość powinna być odpowiednio losowa i złożona) jesli tak, powinnismy do nowej wartosci ciasteczka sesyjnego dorzucic jeszcze nowa wartosc ciasteczka 'remember me' zeby zmniejszyc ilosc wymaganych logowan a miec wieksze bezpieczeńśtwo. Można dodatkowo wprowadzić w bazie wartosc zliczajaca liczbe zregenerowanych sesji i po okreslonej ich ilosci, zmusic usera do zalogowania
  - - - jeśli aplikacja nie zabrania tego w kodzie, domyślnie zezwala ona na zalogowanie z wielu urządzeń, w przypadku wrażliwych systemów np. finansowych może to być niebezpieczne