Guide su sicurezza del codice, code review con IA e correzioni che reggono.
· 7 min di lettura
Come IDOR e controlli di accesso violati si insinuano in REST, GraphQL e nei route handler di Next.js, come testarli e le correzioni che reggono davvero.
· 7 min di lettura
Gli errori su JWT e sessioni che portano all'account takeover: confusione degli algoritmi, segreti deboli, claim non verificati, storage dei token e logout.
· 7 min di lettura
Cancellare una chiave API committata non la rimuove dalla cronologia Git. Come trovare i segreti trapelati, ruotarli, ripulire la cronologia e prevenire i leak.
· 8 min di lettura
Checklist di sicurezza per le app con App Router di Next.js: server action, route handler, middleware, variabili d'ambiente, CSRF, header, webhook e cache.
· 8 min di lettura
Come prompt injection, abuso degli strumenti ed esfiltrazione tramite link colpiscono davvero le funzionalità LLM, e i controlli che limitano i danni.
· 7 min di lettura
Come nascono doppie spese, riuso dei coupon e aggiramenti dei limiti quando le richieste corrono, e come correggerli con vincoli, update atomici e lock.
· 7 min di lettura
Guida pratica a CSP con nonce e strict-dynamic, HSTS e preload, frame-ancestors, Referrer-Policy, Permissions-Policy e COOP, con una config Next.js.
· 7 min di lettura
Snippet SQL vulnerabili e corretti per pg, Prisma, psycopg, SQLAlchemy e database/sql di Go, più ORDER BY dinamici e liste IN sicure. Mappati su CWE-89.
· 7 min di lettura
Come l'SSRF trasforma webhook, anteprime e importatori in una via verso i metadati cloud e i servizi interni, e le difese che reggono, con esempio Node.js.
· 9 min di lettura
Checklist pratica delle dieci classi di vulnerabilità da controllare in ogni code review, mappate su OWASP Top 10 e CWE, con la correzione per ciascuna.
· 5 min di lettura
I CWE trasformano una segnalazione di sicurezza vaga in una classe di debolezza precisa e tracciabile. Una guida per leggerli e prioritizzare i fix.