Pytania rekrutacyjne z bezpieczeństwa aplikacji webowych (Senior) z odpowiedziami

75 pytań na rozmowę rekrutacyjną z tematu Bezpieczeństwo aplikacji webowych (Senior) - z poprawnymi odpowiedziami, wyjaśnieniami i linkami do dokumentacji.

Rozwiąż ten test
  1. 1.W czym pomaga model STRIDE?
  2. 2.Kiedy modelowanie zagrożeń jest najbardziej przydatne?
  3. 3.Jaka jest główna idea architektury zero trust?
  4. 4.Do czego służy OWASP ASVS?
  5. 5.Dlaczego bezpieczne ustawienia domyślne są ważne we wspólnej wewnętrznej bibliotece lub frameworku?
  6. 6.Zespół dodaje nowy przepływ danych: przeglądarka wgrywa pliki, które przetwarza worker w tle. Które pytanie jest najważniejsze dla modelu zagrożeń?
  7. 7.Co oznacza "promień rażenia" (blast radius) w projektowaniu bezpieczeństwa?
  8. 8.Jak wdrożyć Trusted Types w dużej istniejącej aplikacji?
  9. 9.Czym jest script gadget?
  10. 10.Czym jest mutation XSS (mXSS)?
  11. 11.Co daje HTML Sanitizer API (setHTML) w porównaniu z biblioteką sanitizera w JavaScript?
  12. 12.Czym jest dangling markup injection?
  13. 13.Polityka używa nonce, ale strona HTML jest cache'owana przez CDN i serwowana wielu użytkownikom. Co jest nie tak?
  14. 14.Dlaczego CSP dopuszczającą https://cdn.jsdelivr.net da się obejść?
  15. 15.Co faktycznie wymusza require-trusted-types-for 'script'?
  16. 16.W design systemie komponent <RichText html={...} /> opakowuje dangerouslySetInnerHTML. Jakie podejście jest najbardziej niezawodne?
  17. 17.Dlaczego XSS przez postMessage może się zdarzyć nawet na stronie z restrykcyjną CSP?
  18. 18.Jak dobrze obsługiwać raporty o naruszeniach CSP na dużą skalę?
  19. 19.Jakie główne ryzyko pozostaje, gdy działa już restrykcyjna CSP z nonce i Trusted Types?
  20. 20.Które dwa nagłówki sprawiają, że strona jest cross-origin isolated?
  21. 21.Dlaczego po Spectre ograniczono SharedArrayBuffer i timery wysokiej rozdzielczości?
  22. 22.Przed czym chroni Cross-Origin-Opener-Policy: same-origin?
  23. 23.Czym są XS-Leaks?
  24. 24.Co robi polityka izolacji zasobów oparta na Fetch Metadata?
  25. 25.Czym jest site isolation w przeglądarkach?
  26. 26.Co zmienia Cross-Origin-Embedder-Policy: credentialless w porównaniu z require-corp?
  27. 27.Jakie atrybuty powinna mieć ramka iframe pokazująca niezaufany HTML od użytkowników?
  28. 28.Dlaczego zespoły bezpieczeństwa serwują treści wgrywane przez użytkowników z osobnej domeny, np. usercontent.example?
  29. 29.Czym jest wzorzec backend-for-frontend (BFF) dla uwierzytelniania SPA?
  30. 30.Tokeny tylko w pamięci SPA czy ciasteczka HttpOnly: jaki jest główny kompromis?
  31. 31.Czym jest wykrywanie ponownego użycia refresh tokenu?
  32. 32.Przed czym chronią tokeny powiązane z nadawcą (np. DPoP)?
  33. 33.Czym jest atak pomylenia algorytmów JWT (RS256 na HS256)?
  34. 34.Jak rotować klucze podpisu JWT bez wylogowania wszystkich?
  35. 35.Dlaczego passkeys (WebAuthn) są odporne na phishing?
  36. 36.Dlaczego SMS uważa się za słabszy drugi składnik?
  37. 37.Jakie sygnały uzasadniają dodatkowe uwierzytelnienie (step-up) w trakcie sesji?
  38. 38.Jak zaimplementować "wyloguj ze wszystkich urządzeń" z access tokenami JWT?
  39. 39.Dlaczego odpowiedzi logowania i resetu hasła powinny trwać mniej więcej tyle samo dla istniejących i nieznanych kont?
  40. 40.Jak usługa powinna porównywać otrzymany klucz API lub podpis HMAC z oczekiwaną wartością?
  41. 41.Jakiego źródła losowości używać do ID sesji i tokenów resetu w przeglądarce lub Node.js?
  42. 42.Kto według OAuth 2.0 Security BCP (RFC 9700) powinien używać PKCE?
  43. 43.Czym jest atak mix-up w OAuth?
  44. 44.Jak kod autoryzacji lub token może wyciec przez nagłówek Referer?
  45. 45.Przed czym chroni parametr OIDC nonce?
  46. 46.Dlaczego access tokeny do API powinny mieć konkretnego odbiorcę (aud)?
  47. 47.Dlaczego OAuth BCP odradza resource owner password credentials grant?
  48. 48.Dostawca OAuth dopuszcza redirect_uri=https://app.com/callback/../open-redirect?to=evil. Jakie połączenie powoduje wyciek tokenu?
  49. 49.Czym jest dependency confusion?
  50. 50.Dlaczego skrypty npm postinstall są ryzykiem dla łańcucha dostaw?
  51. 51.Co daje provenance pakietów npm?
  52. 52.Czym jest SLSA?
  53. 53.Skrypt z CDN jest dołączony jako <script src="https://cdn.example/lib@3.2.1.js">. Przed czym chroni dodanie integrity="sha384-..."?
  54. 54.Jakie jest główne ryzyko ładowania wielu skryptów stron trzecich przez tag manager?
  55. 55.Jak bezpiecznie obsługiwać automatyczne aktualizacje zależności (Dependabot, Renovate)?
  56. 56.Czym jest typosquatting w rejestrach pakietów?
  57. 57.Która praktyka CI najlepiej ogranicza szkody z przejętej zależności podczas buildów?
  58. 58.Twój serwer pobiera adres podany przez użytkownika, by zrobić podgląd linku. Jakie jest największe ryzyko?
  59. 59.Dlaczego niebezpieczna deserializacja jest groźna?
  60. 60.Czym jest ReDoS?
  61. 61.Jaki projekt limitów żądań najlepiej pasuje do publicznego API logowania?
  62. 62.Co nigdy nie powinno trafić do logów aplikacji?
  63. 63.Jaka jest główna zaleta menedżera sekretów nad zmiennymi środowiskowymi w repozytorium?
  64. 64.Dlaczego wgrywane pliki trzeba sprawdzać po treści, a nie tylko po rozszerzeniu?
  65. 65.Czym jest BOLA w OWASP API Security Top 10?
  66. 66.Dlaczego każda Server Action w Next.js potrzebuje własnego sprawdzenia autoryzacji?
  67. 67.Na czym polegała podatność middleware Next.js z 2025 roku (CVE-2025-29927)?
  68. 68.React Server Component pobiera rekord użytkownika i przekazuje cały obiekt do Client Component. Jakie jest ryzyko?
  69. 69.Dlaczego renderowanie po stronie serwera może przywrócić XSS, przed którym chroniłby framework kliencki?
  70. 70.Aplikacja wysyła dane użytkownika do LLM i pokazuje odpowiedź jako HTML. Które ryzyko OWASP LLM Top 10 wymienia jako pierwsze?
  71. 71.Gdzie logika autoryzacji w aplikacji full-stack na frameworku jest najbardziej niezawodna?
  72. 72.Co opisuje wynik CVSS?
  73. 73.Do czego służy /.well-known/security.txt?
  74. 74.Jaka jest właściwa kolejność działań, gdy wycieknie sekret z produkcji?
  75. 75.Jak uzupełniają się automatyczne skanowanie (SAST/DAST), pentesty i bug bounty?