раздел 12

Security

CORS, CSP, helmet, OWASP top-10. Защита, построенная на привычках.

6 уроков16 тем · 6 кластеров

Без входа у каждого урока видно начало. Войди, чтобы читать целиком, отмечать пройденное и решать задачи. войти

Уроки раздела

Понятия разобраны внутри уроков. Нажми на понятие, чтобы открыть урок, где оно объясняется.

CORS, helmetPreflight, Same-origin policy.урок 1 · Повседневные атаки: CORS, CSRF, SQL injection, path traversalопираются: урок 2
CSRFКак происходит атака. SameSite=Lax/Strict, double-submit cookie, anti-CSRF токены. Отличие от XSS.урок 1 · Повседневные атаки: CORS, CSRF, SQL injection, path traversalопираются: урок 2
Path traversalАтака с ../, безопасное построение через path.resolve и проверку префикса. URL.canParse в Node/браузере.урок 1 · Повседневные атаки: CORS, CSRF, SQL injection, path traversal
SQL injectionАтака. Защита через параметризованные запросы, ORM как защита (и где ломается), pg.Client.query параметры.урок 1 · Повседневные атаки: CORS, CSRF, SQL injection, path traversalопираются: урок 3

Конфигурация приложенияAWS Vault, env vars, keychain, Doppler, 1Password CLI.урок 2 · XSS, CSP и секреты: чистим вывод и прячем ключи
Управление секретамиVault, KMS, SOPS, Doppler. .env только локально, ротация, secret scanning в CI.урок 2 · XSS, CSP и секреты: чистим вывод и прячем ключи
Утечки пользовательских данныхRainbow tables, phishing, brute force, cookies, MITM, CSRF, SameSite, session fixation.урок 2 · XSS, CSP и секреты: чистим вывод и прячем ключи
Content Security Policy и Trusted TypesДирективы CSP, nonce/hash, strict-dynamic, отчёты. Trusted Types против DOM-XSS.урок 2 · XSS, CSP и секреты: чистим вывод и прячем ключи
XSSDOM-based, mXSS, Stored/Reflected.урок 2 · XSS, CSP и секреты: чистим вывод и прячем ключиопираются: урок 3

Атаки на цепочку поставокnpm typosquatting, lockfile-нарушения, provenance, SBOM, audit, isolated CI runners, pinned-deps, post-install hooks.урок 3 · OWASP Top 10 и атаки на цепочку поставок
OWASP Top 10Injection, Broken Auth, Sensitive Data, XXE, Broken Access Control, Misconfig, XSS, Insecure Deserialization, Known Vuln components, Logging.урок 3 · OWASP Top 10 и атаки на цепочку поставокопираются: урок 5, урок 6

Экзотика, 0-day, DDoSHackTheBox, Metasploitable, metasploit.урок 5 · AAA и экзотика: токены, 0-day, DDoSопираются: урок 6
AAA: Authn / Authz / AccountingOAuth и баги. Token fixation.урок 5 · AAA и экзотика: токены, 0-day, DDoS

Опережающее предупреждениеЧеклист пакетов, сообщение клиенту об обновлениях, SonarQube, 2FA.урок 6 · Угрозы и SSDLC: опережающее предупреждение

Auth модели: RBAC/ABAC/PBACГибридные подходы.урок 4 · Auth модели и фронтенд: RBAC, ABAC, PBAC и refresh-flowопираются: урок 5
Frontend auth specificsRefresh-token flow, BFF auth, SSR нюансы, bfcache + pageshow, CSRF token + SameSite + Origin.урок 4 · Auth модели и фронтенд: RBAC, ABAC, PBAC и refresh-flow