Kimlik ve izin farklı sorulardır
Kimlik doğrulama kullanıcının kim olduğunu, yetkilendirme ise hangi işlemi yapabileceğini belirler. OWASP, bu iki kavramı ayrı ele alır. Başarılı oturum açmış bir kullanıcı bütün kayıtları okumaya veya değiştirmeye yetkili olmayabilir. Arayüzde bir düğmenin gizli olması da sunucudaki işlemin korunduğunu kanıtlamaz.
Kaynağı ve işlemi birlikte değerlendirin
Her istekte kullanıcının ilgili kaynağa ve eyleme yetkisi kontrol edilmelidir. Bir teklif kaydını görmekle fiyatını değiştirmek farklı yetkilerdir. Çok şirketli uygulamalarda şirket kapsamı da bu kontrolün parçasıdır. OWASP'ın varsayılan reddetme ve her istekte izin kontrolü yaklaşımı, unutulan özel durumların etkisini sınırlamaya yardımcı olur.
İş kurallarını test senaryosuna çevirin
Örnek bir rol matrisi hazırlayın: satış temsilcisi kendi teklifini okuyabilir, yöneticisi ekibinin tekliflerini görebilir, finans ise onaylanmış kayıtlarda belirli alanları düzenleyebilir. Bu örnek gerçek müşteri verisi kullanmadan test edilebilir. Yetkisiz kullanıcı, başka ekipteki kullanıcı ve oturumsuz istek için beklenen davranışı ayrı ayrı tanımlayın.
Yeni özellikler izinleri değiştirebilir
Toplu dışa aktarım, dosya indirme ve arama gibi ek özellikler mevcut erişim modelini genişletebilir. Her yeni özelliğin aynı kapsam kontrollerini uyguladığını doğrulayın. Log kayıtları olay incelemesine yetecek bilgiyi içermeli; parola, erişim belirteci ve gereksiz kişisel veri barındırmamalıdır. Ürün kabul listesinde yetkilendirme kontrollerine görünür bir yer ayırın.
Başlangıç kontrol listesi
- Rol, kayıt kapsamı ve eylemi birlikte tanımlayın.
- Sunucu tarafında her isteği kontrol edin.
- Farklı rollerde olumsuz testler uygulayın.
- Dışa aktarım ve dosya erişimini unutmayın.
Kaynaklar ve ileri okuma
Teknik açıklamalar resmi kaynaklarla desteklenmiştir. Örnek senaryolar ve kontrol listeleri Rein için hazırlanmış uygulama önerileridir. Kaynak kontrolü: 29 Eylül 2026.
Yayın ilkelerimiz →Bu konuyu kurumunuzda ele alalım.
Mevcut ortamınızı ve hedeflerinizi birlikte değerlendirebiliriz.
İlgili hizmeti inceleyin ↗