Кол салуучунун таасири
Чабуулчу MVP жайгаштырууларындагы жалпы көзөмөлдөрдү колдонуу менен колдонуучунун купуя маалыматтарына уруксатсыз кире алат, маалымат базасынын жазууларын өзгөртүп же инфраструктураны басып алат. Буга [S4] кирүү башкаруу элементтеринин жетишсиздигинен улам ижарачылардын ортосунда берилиштерге жетүү же [S2] интеграцияланган кызматтарынан чыгашаларды алуу жана маалыматтарды эксфильтрациялоо үчүн ачыкка чыгып кеткен API ачкычтарын колдонуу кирет.
Негизги себеп
MVPди ишке киргизүүгө шашылганда, иштеп чыгуучулар, өзгөчө, AI жардамы менен "виб коддоосун" колдонгондор - негизги коопсуздук конфигурацияларына көп көңүл бурушпайт. Бул кемчиликтердин негизги драйверлери болуп төмөнкүлөр саналат:
- Жашыруун агып кетүү: Маалыматтар базасынын саптары же AI камсыздоочу ачкычтары сыяктуу эсептик маалыматтар кокусунан [S2] версиясын башкарууга берилген.
- Сынган кирүүнү башкаруу: Колдонмолор катаал авторизация чектерин аткара албай, колдонуучуларга [S4] башкаларга таандык ресурстарга кирүү мүмкүнчүлүгүн берет.
- Уруксат берүүчү маалымат базасынын саясаттары: Supabase сыяктуу заманбап BaaS (Кызмат катары арткы мейкиндик) орнотууларында Саптын деңгээлинин коопсуздугун (ZXCVFIXVIBETOKVEN2Z) иштете албай жана туура конфигурациялай албай жатат (ZXCVFIXVIBETOKVEN2Z аркылуу түз эксплуатациялоо үчүн) китепканалар [S5].
- Алсыз Токендерди башкаруу: Аутентификация токендерин туура эмес иштетүү сессияны уурдоого же уруксатсыз API [S3] кирүүгө алып келиши мүмкүн.
Бетон оңдоолор
Катар деңгээлинин коопсуздугун ишке ашыруу (RLS)
Supabase сыяктуу Postgres негизиндеги бэкенддерди колдонгон колдонмолор үчүн RLS ар бир столдо иштетилиши керек. RLS маалымат базасынын кыймылдаткычынын өзү жетүү чектөөлөрүн ишке ашырууну камсыздайт, бул колдонуучунун [S5] аныктыгын текшерүү белгиси жарактуу болсо дагы, башка колдонуучунун маалыматтарын суроосуна жол бербейт.
Жашыруун сканерлөөнү автоматташтыруу
API ачкычтары же [S2] сертификаттары сыяктуу купуя эсептик дайындардын түртүлүшүн аныктоо жана бөгөттөө үчүн жашыруун сканерлөөнү иштеп чыгуу процессине бириктириңиз. Эгер сыр чыгып кетсе, аны жокко чыгарып, дароо айлантуу керек, анткени ал бузулган [S2] деп эсептелиши керек.
Токендерди катуу колдонуу
Токендердин коопсуздугу үчүн тармактык стандарттарды сактаңыз, анын ичинде сеансты башкаруу үчүн коопсуз, HTTP гана cookie файлдарын колдонуу жана [S3] чабуулчулары тарабынан кайра колдонуунун алдын алуу үчүн мүмкүн болсо, токендер жөнөтүүчү тарабынан чектелгендигин камсыз кылуу.
Жалпы Веб коопсуздук аталыштарын колдонуңуз
Колдонмого [S1] серепчиге негизделген кеңири таралган чабуулдарды басаңдатуу үчүн Мазмунду Коопсуздук Саясаты (CSP) жана коопсуз транспорттук протоколдор сыяктуу стандарттык веб коопсуздук чараларын ишке ашыргандыгын текшериңиз.
FixVibe аны кантип сынайт
FixVibe буга чейин эле бир нече жандуу скандоочу беттерде бул маалымат агып чыгуу классын камтыйт:
- Supabase RLS экспозициясы:
baas.supabase-rlsжалпыга ачык Supabase URL/анон-ачкыч жуптарын бир келип чыккан таңгактардан, окуу таблицаларынан жана посттордон чыгарат. анонимдүү SELECT таблица маалыматтарынын ачыкка чыгышын текшерүү үчүн текшерет. - Repo RLS боштуктары:
repo.supabase.missing-rlsGitHub репозиторийининALTER TABLE ... ENABLE ROW LEVEL SECURITYдал келүүсүз түзүлгөн жалпы таблицалар үчүн SQL көчүрүүлөрүн карап чыгат. - Supabase сактагычтын абалы:
baas.supabase-security-checklist-backfillкардардын дайындарын жүктөөсүз же мутациялоосуз коомдук сактагычтын метадайындарын жана анонимдүү листингдин таасирин карап чыгат. - Сырлар жана серепчинин абалы:
secrets.js-bundle-sweep,headers.security-headersжанаheaders.cookie-attributesжелекчеси кардар тараптын эсептик дайындарын ачыкка чыгарды, серепчинин катаалдатуу аталыштары жана алсыз аутентификациялык желекчелер жок. - Кирүү мүмкүнчүлүгүн көзөмөлдөөчү зонддор: кардар жигердүү скандоолорду иштеткенде жана доменге ээлик ырасталганда,
active.idor-walkingжанаactive.tenant-isolationтестирлөө IDOR/BOLA стилиндеги кайчылаш ресурс жана ижарачылардын маалыматтарынын ачыкка чыгуу жолдорун тапты.