System Design · Middle · Pytanie 55 z 75
Czym jest IDOR i jak mu zapobiec?
GET /api/invoices/1043 // user changes the id to 1044- ✓Poprawna odpowiedź: Insecure Direct Object Reference: serwer musi sprawdzać, czy bieżący użytkownik ma dostęp do każdego żądanego obiektu
- 2Wystarczy użyć UUID zamiast liczb
- 3Wystarczy ukryć id w UI
Wyjaśnienie
Nieodgadywalne id utrudniają wyliczanie, ale nie zastępują sprawdzania autoryzacji dla każdego obiektu.