העלאות קבצים והרשאות: החלטות לפני פיתוח
מאת איתי דילן זריהן זיונץ· הבעלים של POCAST
העלאת קובץ צריכה מפרט על תוכן מותר, גודל, בעלות וגישה.
תשובה מעשית
העלאת קובץ צריכה מפרט על תוכן מותר, גודל, בעלות וגישה. השאלה אינה רק איך להוסיף כפתור: מי רשאי להעלות, מי יכול להוריד ומה קורה לקובץ שנדחה או נמחק.
תהליך עבודה והחלטות
הגדירו רשימת סוגים נדרשים, מגבלות ואימות בשרת; סיומת או סוג שהדפדפן מצהיר עליו אינם בדיקה מספקת לבדם. תכננו שם אחסון שנוצר במערכת, הפרדה מגישה ציבורית ואימות הרשאה בכל הורדה. לפי הסיכון הגדירו בדיקת תוכן, סריקה וטיפול בקבצים שלא הושלמו. בדקו גישה גם מחשבון אחר ולא רק אצל המעלה.
דוגמה לתכנון
במערכת דמיונית לקוח מצרף חומר לעריכה. שם קובץ אקראי אינו מונע מאדם עם קישור להוריד אותו. המפרט מגדיר בדיקת בעלות או שיתוף מורשה בשרת, יחד עם מצב דחייה והודעה ברורה למשתמש.
רשימת בדיקה לפני שממשיכים
- סוגים וגודל נבדקים בשרת.
- קובץ אינו ציבורי כברירת מחדל.
- הורדה מחייבת הרשאה מתאימה.
- מחיקה, כשל והעלאה חלקית מקבלים טיפול.
מקור מקצועי והעמקה
מדריך OWASP לאבטחת העלאת קבצים מתאר שילוב הגנות; בחירתן תלויה במערכת ובסיכון.
הכנת בריף לפרויקט
כלי לאפיון אתר ומערכת עסקית — הגדירו מטרה, היקף וחומרים. בסיום אפשר לערוך, להעתיק או להדפיס את הסיכום ולפנות לפי בחירה.
דוגמאות מהעבודות שלנו
תכנון הפרויקט עם POCAST
לפרטי השירות ולפנייה בנושא העלאות קבצים והרשאות: החלטות לפני פיתוח. שלחו מטרה, חומרים קיימים והיקף רצוי; ההצעה תגדיר תכולה ותוצרים לפני תחילת עבודה.
למרכז המדריכים בנושא בית תוכנה ופיתוח.