Bezpieczeństwo aplikacji

Zaczynam od granic zaufania: waliduję wejście, sprawdzam sesję i uprawnienia po stronie serwera oraz ograniczam dane zwracane klientowi.

• Stosuję bezpieczne zapytania do bazy i ochronę przed injection.
• Używam HTTPS, bezpiecznych cookies i ochrony CSRF, gdy model uwierzytelniania jej wymaga.
• Kontroluję rozmiary requestów, rate limiting i próby logowania.
• Sekrety trzymam poza repozytorium i logami.
• Aktualizuję zależności i rejestruję istotne zdarzenia.

Przykład: endpoint zamówienia sprawdza jego właściciela, zamiast ufać userId wysłanemu przez klienta.

Pułapka: CORS, JWT ani jedna biblioteka nie stanowią całego systemu bezpieczeństwa.