Bezpieczeństwo aplikacji webowych · Middle · Pytanie 57 z 75
Czym jest IDOR (insecure direct object reference)?
- 1Używaniem autoinkrementowanych ID w bazie danych
- 2Odwoływaniem się do obiektów po adresie w pamięci
- ✓Poprawna odpowiedź: Zmiana ID w żądaniu, np.
/api/orders/1002, daje dostęp do danych innego użytkownika, bo nie sprawdza się własności
Wyjaśnienie
Losowe UUID utrudniają zgadywanie, ale nie naprawiają błędu. Każde żądanie musi sprawdzać, czy bieżący użytkownik ma dostęp do tego obiektu.