access control
該標籤下有 10 篇文章
什麼是 OWASP Top 10——Web 應用十大風險的標準清單
OWASP Top 10 是非營利組織 OWASP 每隔數年發布的「Web 應用最關鍵風險」清單，是開發者與維運者的共通語言。最新版（2021）以「存取控制失效」居首，其後為注入、設定錯誤、脆弱與過時的元件、認證失效等。這些是風險「類別」，而非個別的攻擊手法——請把它當成檢視自己應用的觀點來用。
什麼是 PCI DSS——處理信用卡資料的安全標準
PCI DSS（Payment Card Industry Data Security Standard）是儲存、處理或傳輸卡片資料的業者所須遵循的國際標準。由卡片品牌制定，它要求網路防護、儲存資料加密、最小權限的存取控制、監控／記錄，以及漏洞管理。實務上最安全的做法是自己根本別持有卡號——把處理交給合規的支付服務商（代碼化／tokenization）並縮小你的適用範圍。
Django 的資安對策 — 正式環境強化實務參考
Django 是「電池全含」帶有安全的預設（ORM、CSRF、自動轉義、認證），但事故來自設定。本頁是可實作的參考：(1) 依優先度排序的強化清單（P0–P2）(2) 各領域指引——DEBUG=False＋ALLOWED_HOSTS、把 SECRET_KEY 外部化、pip 相依套件 CVE、正式環境安全設定（SECURE_SSL_REDIRECT/HSTS/SESSION_COOKIE_SECURE 等）、授權（擁有者範圍）、注入與輸出（raw/extra、mark_safe/|safe）、CSRF/工作階段/admin、SSRF/上傳，以及 (3) 自我檢查清單。純防禦——不含攻擊步驟。
Laravel 資安對策 — 正式環境的加固參考
Laravel 的預設值很強；正式環境的事故來自設定與維運。這是一份可實作的參考：(1) 依優先度排序的加固檢查清單（P0–P2）、(2) 一張危險預設值的表格、(3) 各領域指引——機密／APP_KEY、正式環境設定（APP_DEBUG／快取）、授權（Policy/Gate、Mass Assignment）、注入／輸出（Eloquent 綁定、Blade）、工作階段／CSRF／cookie、上傳、HTTPS／標頭／限流、Composer 相依套件 CVE，以及 (4) 自我驗證檢查清單。純防禦——不含攻擊步驟。
Next.js 資安 — 正式環境的加固參考
Next.js 的預設相當安全，但事故發生在伺服器與用戶端的邊界。這是一份可實作的參考：(1) 依優先順序排列的加固清單（P0–P2），(2) 各面向的指引——邊界與環境變數（NEXT_PUBLIC_）、相依套件 CVE（含核心 RCE）、Server Actions／Route Handlers 授權＋輸入驗證、伺服器端抓取的 SSRF、安全標頭／CSP、驗證／工作階段／cookie、速率限制，以及 (3) 自我驗證清單。純防禦——不含攻擊步驟。
ASP.NET Core 的資安對策 — 正式環境強化實務參考
ASP.NET Core 是成熟穩固的地基，但事故來自設定。本頁是可實作的參考：(1) 依優先度排序的強化清單（P0–P2）(2) 各領域指引——正式環境不外露詳細錯誤／開發者例外頁面、把秘密外部化（User Secrets/環境/Key Vault）、NuGet 相依套件 CVE、授權（[Authorize]、fallback 預設拒絕、資源型/擁有者）、過度接收（DTO/[Bind]）、不安全的還原序列化（避免 BinaryFormatter）、HTTPS/標頭/antiforgery、SSRF，以及 (3) 自我檢查清單。純防禦——不含攻擊步驟。
Express（Node.js）的資安對策 — 正式環境強化實務參考
Express 是最小主義——預設幾乎什麼都不守，所以防禦要自己補上。本頁是實務參考：(1)附優先度的強化檢查表(P0〜P2) (2)分領域的具體對策＝安全性標頭(helmet)＋停用 x-powered-by、npm 相依套件 CVE、輸入驗證與注入(SQL/NoSQL 運算子)、驗證與擁有者範圍的授權、速率限制與大小上限、工作階段/cookie/CSRF、SSRF、正式環境錯誤處理(不暴露堆疊)、NODE_ENV (3)自我檢驗檢查。只談防禦與點檢，不含攻擊步驟。
Ruby on Rails 的資安對策 — 正式環境強化實務參考
Rails 內建慣例與安全的預設（CSRF 保護、Strong Parameters、ORM），但正式環境的事故來自維運。本頁是可實作的參考：(1) 依優先度排序的強化清單（P0–P2）(2) 各領域指引——秘密與 credentials（master key/secret_key_base）、正式環境設定（force_ssl、不外露例外）、gem CVE、Strong Parameters/Mass Assignment、授權（Pundit、擁有者範圍）、注入與危險方法（where 串接/send/constantize）、工作階段/cookie/CSRF、SSRF/上傳，以及 (3) 自我檢查清單。純防禦——不含攻擊步驟。
只加了登入就以為安全了嗎 — 身分驗證與授權的差別
身分驗證＝確認一個人是誰；授權＝決定這個人可以做什麼。兩者是不同的東西，只加了登入並不等於做了授權。資料若沒有依擁有者（user_id）做範圍限制，就會變成「登入＝看到全部資料」——這正是 OWASP 排名第一的 Broken Access Control。若再疊上開放註冊的腳手架，陌生人就能自行註冊直接走進來。防禦：把每個查詢都限縮到擁有者、關閉不需要的註冊、多層防禦、在事故發生前備好稽核／存取記錄、偵測新的註冊。
IDOR 是什麼 — 僅靠改寫 ID 就能看到他人資料的漏洞
IDOR 是一種僅靠把 ?id=124 改成 125 就能看到他人發票、個人資訊的存取控制缺陷漏洞。關鍵防禦是「在伺服器端每次校驗『目前登入的這個使用者，是否可以查看該物件』」。難以猜測的 ID 並不能算作對策。