قائمة فحص أمن تطبيقات الويب قبل النشر

المشكلة التي يعالجها هذا الدليل

مراجعة الأمان تكون نافعة عندما تغطي المزايا التي تغيرت في الإصدار. الفحص الآلي مهم لكنه لا يثبت سلامة حدود الصلاحيات والجلسات وقواعد الأعمال.

خطوات تطبيق عملية

• احصر المسارات الجديدة وحدود الثقة
• راجع الهوية والصلاحيات وعرض المدخلات غير الموثوقة
• اختبر الحزم وتسريب الأسرار
• تحقق من ترويسات الحماية وحدود الطلبات
• وثق الإصلاحات والاعتماد وإمكانية الرجوع

اختبار قبول واضح

جرّب تعديلًا دون صلاحية وحمولة كود داخل نص وحجم طلب زائدًا على المسارات المعدلة، وتحقق من الرفض الآمن.

خطأ شائع يجب تجنبه

لا تعتبر خلو فحص المكتبات من التنبيهات إثباتًا لعدم وجود عيوب في منطق التطبيق.

ابدأ بما تغير فعلًا

راجع فرق المصدر وخطة النشر وحدد المسارات العامة الجديدة والصلاحيات والترحيلات والاتصالات الخارجية ومداخل المحتوى. لا يحتاج تعديل لون إلى الاختبارات نفسها التي يحتاجها رفع ملفات. سجل الضوابط التي تحمي كل مسار جديد، مثل التفويض على السيرفر والتحقق من المدخلات وفرض المصدر. قد تبقى شاشة الدخول كما هي بينما تفتح نقطة إدارة جديدة وصولًا بلا تفويض إذا لم تستدعِ دالة الحماية القائمة.

اختبر الحدود التي أضافتها الوظيفة

في محرر المحتوى جرّب النصوص النشطة والروابط الخطرة والوصول إلى المسودات وصلاحية النشر. في بيانات التواصل، تأكد من غياب القيم المخفية عن API وHTML وبيانات البحث المنظمة. في نقطة بيانات، اختبر حدود المؤسسة والسجل. أرسل طلبات حقيقية إلى نسخة مبنية لتشمل التوجيه والتسلسل والترويسات. اختبار دالة التحقق وحده لا يثبت أن كل مسار يستدعيها أو يرفض جلسة غير مخولة.

راجع الحزم والإعدادات مع الكود

افحص ملف القفل ونتائج تدقيق الحزم للنسخة نفسها. ميّز التعرض أثناء التشغيل عن مشاكل أدوات التطوير دون إخفاء أي منهما. تجنب إصلاحًا قسريًا يخفض إصدار إطار يحتوي تصحيحًا أمنيًا أو يغير سلوكًا تجاريًا لا علاقة له بالتعديل. راجع سياسة المحتوى حسب الوظيفة؛ إضافة نطاق صور أو سكربت أو إطار تحتاج سببًا محددًا ونطاق سماح محدودًا. وجود الترويسة وحده لا يثبت سلامة العرض من الحقن.

درّب النشر والرجوع

استخدم بيئة معزولة وبيانات تجريبية أو محمية وفق الحاجة. تحقق من سلامة الترحيل وحفظ البيانات وطريقة البناء الإنتاجية الموثقة. حافظ على تطابق الكود والحزم والملفات المبنية والإعدادات. حدد فحوص الصحة وصاحب قرار الإيقاف وخطة رجوع لا تتراجع عشوائيًا عن بيانات جديدة. نجاح البناء يثبت التجميع، ولا يثبت عمل التكامل أو العامل الخلفي أو صلاحيات مستخدم قاعدة الإنتاج.

أغلق الإصدار بأدلة واضحة

سجل commit المختبر والبيئة والأوامر والنتائج المرصودة، وافصل التنفيذ والاختبار والنشر والبنود المحجوبة. بعد النشر افحص المسار العام المأذون، بما فيه النموذج أو رحلة العميل المتأثرة. إذا لم يتوفر حساب خارجي أو تحقق نسخة احتياطية أو متصفح، اذكر القيد بدل نقل نتيجة من بيئة أخرى. عالج المخاطر العالية الجديدة وتتبع الموروثة مع تفسير التعرض. يجب أن يفهم مهندس آخر سبب قبول النسخة وما بقي من افتراضات قبل تشغيلها.