أفضل الممارسات والأمان المتقدم

لديك الآن تطبيق تُتحقَّق فيه من الهويات، وتُجزَّأ فيه كلمات المرور بشكل صحيح، وتُضبط فيه صلاحيات الوصول. هذا هو الحد الأدنى الضروري، لكنه ليس كافيًا. فالحوادث التي نقرأ عنها لا تبدأ في الغالب بعبارة «اخترق المهاجم آلية المصادقة»، بل تبدأ بنقطة نهاية Actuator تُركت مفتوحة، أو مفتاح API في مستودع عام، أو مكتبة عمرها ثلاث سنوات، أو أثر استثناء ظهر في بيئة الإنتاج وكشف المسار الكامل على الخادم.

القاسم المشترك بين هذه الثغرات أنه لا واحدة منها عيب في شيفرة التطبيق نفسها. إنها عيوب في الإعداد والتشغيل ونظافة التبعيات. وتصنّفها OWASP بشكل منفصل، فـ«سوء إعداد الأمان» و«المكوّنات المعرّضة للثغرات أو القديمة» فئتان مستقلتان في قائمتها لأخطر عشرة مخاطر.

لذلك يجمع هذا الدرس الأخير العناصر التي لا تنتمي إلى أي درس سابق، لكنها تحدد متانة النظام الفعلية: الترويسات التي يجب أن يتلقاها المتصفح، وكيفية فرض HTTPS دون التسبب في حلقة إعادة توجيه، وتحديد معدل الطلبات، والتسجيل المفيد، وذلك الذي يتسبب هو نفسه في التسرب، وإدارة الأسرار، ومراقبة التبعيات.

كل قسم قابل للتطبيق كما هو. ولا يتطلب أي منها إعادة هيكلة: فمعظمها أسطر تُضاف خلال هذا الأسبوع.

ترويسات الأمان

يكتب Spring Security بالفعل عدة ترويسات واقية دون أي إعداد. ومن المفيد معرفة هذه الترويسات حتى لا تعيد التصريح بها، ولا تظن خطأً أن بعضها ناقص.