Руководства по безопасности кода, ревью с ИИ и исправлениям, которые работают.
· Чтение: 7 мин
Как IDOR и нарушения контроля доступа проникают в REST, GraphQL и route handlers Next.js, как их тестировать и какие исправления работают в реальных проектах.
· Чтение: 7 мин
Ошибки с JWT и сессиями, ведущие к захвату аккаунта: путаница алгоритмов, слабые секреты, непроверенные claim, хранение токенов, ротация и настоящий выход.
· Чтение: 7 мин
Удаление закоммиченного API-ключа не стирает его из истории git. Как найти утёкшие секреты, сначала заменить их и безопасно переписать историю.
· Чтение: 8 мин
Чек-лист безопасности для приложений на Next.js App Router: server actions, route handlers, middleware, переменные окружения, CSRF, заголовки, вебхуки, кеш.
· Чтение: 8 мин
Как prompt injection, злоупотребление инструментами и утечка данных через ссылки бьют по LLM-функциям и какие меры ограничивают ущерб, когда модель увели.
· Чтение: 7 мин
Как возникают двойные списания, повторное использование купонов и обход лимитов при гонке запросов и как это чинят ограничения, атомарные update, блокировки.
· Чтение: 7 мин
Практическое руководство по CSP с nonce и strict-dynamic, HSTS и preload, frame-ancestors, Referrer-Policy, Permissions-Policy и COOP с конфигурацией Next.js.
· Чтение: 7 мин
Уязвимые и исправленные SQL-запросы для pg, Prisma, psycopg, SQLAlchemy и database/sql в Go, безопасные ORDER BY и списки IN. Соответствует CWE-89.
· Чтение: 7 мин
Как SSRF превращает вебхуки, превью ссылок и импортёры в путь к метаданным облака и внутренним сервисам, и какие защиты работают. С примером на Node.js.
· Чтение: 9 мин
Практический чек-лист из десяти классов уязвимостей для каждого код-ревью, с привязкой к OWASP Top 10 и CWE и исправлением в одну строку.
· Чтение: 5 мин
Идентификаторы CWE превращают размытую находку в точный, отслеживаемый класс слабости. Краткое руководство: как их читать и расставлять приоритеты исправлений.