Sicherheit von Webanwendungen · Middle · Frage 62 von 75
Ein Multi-Tenant-SaaS filtert Daten nach tenantId aus dem Request-Body. Was ist das Risiko?
- 1Kein Risiko, weil ein JSON-Schema den Body validiert
- 2Nur die Performance leidet, wenn der Filter im Body steht
- 3Nutzer können ihn ändern; der Mandant muss aus der Sitzung kommen
Antwort zeigen
Richtige Antwort: Nutzer können ihn ändern; der Mandant muss aus der Sitzung kommen
Erklärung
Identität und Mandant sollten auf dem Server aus Token oder Sitzung abgeleitet werden, nie aus Nutzereingaben übernommen.