المستخدم المسجّل لا يحق له الوصول إلى كل سجل. تحتاج كل عملية قراءة أو تعديل إلى تحقق يربط الحساب بالمورد والفعل المطلوب.
الفكرة الأساسية
ضع قواعد الصلاحيات في الخادم وطبّقها على كل مسار، بما فيه التصدير والتنزيل والطلبات الخلفية. ابدأ بالمنع عند غياب قاعدة سماح واضحة.
خطوات عملية
- حدّد من يقرأ ويعدل ويحذف كل نوع مورد.
- اختبر حسابين مختلفين يطلبان المورد نفسه.
- راجع الوظائف الإدارية والعمليات الجماعية.
مثال تطبيقي
فاتورة تخص عميلًا يجب ألا تصبح متاحة لعميل آخر بتغيير المعرف في الرابط، حتى إن كان كلاهما مسجل الدخول.
خطأ شائع ينبغي تجنبه
إخفاء زر أو استخدام معرف عشوائي لا يعوّض تحقق الملكية والصلاحيات.
للتوسع في الموضوع
صور توضيحية: الغلاف من Unsplash، الصورة الداخلية من Unsplash. ترخيص الاستخدام.
