شناخت IDOR؛ هر شناسه، مجوز نیست

این درس درباره کنترل دسترسی است. تمرین را فقط در اپلیکیشن محلی خودتان یا محیطی با مجوز صریح انجام دهید. IDOR زمانی رخ می‌دهد که سرور برای شیء درخواستی، مجوز کاربر را بررسی نکند.

ورود کافی نیست

فرض کنید دو حساب آزمایشی A و B هرکدام یک یادداشت دارند. ورود A به سیستم نباید به او اجازه خواندن یادداشت B را بدهد. دانستن شناسه یادداشت اثبات مالکیت نیست؛ شناسه تصادفی هم جای بررسی مجوز را نمی‌گیرد.

کنترل در سرور

در این شبه‌کد، هویت کاربر از نشست معتبر می‌آید. جست‌وجو هم‌زمان شناسه شیء و مالک مجاز را محدود می‌کند. بسته به سیاست محصول، منابع مشترک به قواعد بیشتری نیاز دارند.

user = authenticated_user()
note = find_note(id=requested_id, owner_id=user.id)

if note is None:
    return not_found()
return note

استاد هنوز فیلم یا صوتی برای این بخش بارگذاری نکرده است. جزوه متنی در دسترس است.

هنوز فایل جداگانه‌ای برای دانلود اضافه نشده است.