אוטומציית קליטת קבצים: מה בודקים לפני שמפעילים עיבוד
מאת איתי דילן זריהן זיונץ· הבעלים של POCAST
קליטת קובץ היא תהליך של הרשאה, בדיקה ועיבוד, ולא רק אירוע שמפעיל פעולה נוספת. אין להסתמך על סיומת או על סוג תוכן שהלקוח שולח לבדם.
התשובה בקצרה
קליטת קובץ היא תהליך של הרשאה, בדיקה ועיבוד, ולא רק אירוע שמפעיל פעולה נוספת. אין להסתמך על סיומת או על סוג תוכן שהלקוח שולח לבדם. קובץ שלא עבר בדיקה לא צריך להיכנס למסלול המאושר.
החלטות ותהליך עבודה
הגדירו מי רשאי למסור קובץ, סוגים מותרים וגבולות גודל. בדקו בשרת נתונים ותוכן בהתאם לשימוש, והפרידו אחסון מהיכולת להפעיל קובץ. תכננו מצבים של המתנה, דחייה וכשל עיבוד עם סיבה שניתן לטפל בה. חיבור למערכת אחרת צריך להשתמש במזהה קובץ מאומת ולא בשם בלתי מבוקר. בדקו הרשאה גם בעת גישה מאוחרת לקובץ.
להרחבה: הנחיות OWASP לקליטת קבצים.
תרחיש להמחשה
בתהליך לדוגמה מסמך מיועד לעיבוד פנימי. קובץ לא מתאים נדחה עם הסבר, וקובץ שנקלט אינו מתפרסם אוטומטית. בדיקות נעשות עם חומר דמה ובלי לשלוח אותו למערכות לקוח.
רשימת בדיקה
- הרשאת מסירה מוגדרת.
- סוג וגודל נבדקים בשרת.
- מקור הלקוח אינו נחשב אימות.
- מצבי דחייה וכשל ברורים.
- גישה מאוחרת מוגנת.
בדיקת החלטה לפני שממשיכים
נסו קובץ דמה שאינו מהסוג המותר ומשתמש ללא הרשאה. קליטה ועיבוד ייבדקו בנפרד; הצלחת העלאה אינה אישור להפעיל או לפרסם את הקובץ.
שאלה שכדאי להכניס לבריף
מי רשאי למסור קובץ, ומה חייב לעבור בדיקה לפני עיבוד וגישה?
המוצר והתכולה לבירור
אוטומציית קליטת קבצים — תהליך שמירה ושיוך הרשאות. השירות כפוף להצעת מחיר מותאמת לאחר בירור החומרים, ההיקף ונקודות האישור.
לעריכת בריף ולפנייה בנושא המוצר.
לכל המוצרים בתחום אוטומציות וחיבור בין מערכות.
הכנת בריף
כלי לתכנון הפרויקט — אפשר להכין סיכום ולערוך אותו לפני פנייה.