פרופיל משתמש באפליקציה: מה אפשר לערוך ומה נשאר באחריות המערכת
מאת איתי דילן זריהן זיונץ· הבעלים של POCAST
מסך פרופיל צריך להבדיל בין מידע שהמשתמש רשאי לשנות לבין תפקידים והרשאות שהמערכת מנהלת. הסתרת שדה במסך אינה הגנה מספקת.
התשובה בקצרה
מסך פרופיל צריך להבדיל בין מידע שהמשתמש רשאי לשנות לבין תפקידים והרשאות שהמערכת מנהלת. הסתרת שדה במסך אינה הגנה מספקת. כל שינוי צריך להיבדק בצד השרת מול זהות והרשאה.
החלטות ותהליך עבודה
מפו שדות פרופיל, מי רואה אותם ומי יכול לעדכן. הגדירו מה קורה כשהשמירה נכשלת ואיך מציגים ערך שעדיין לא נשמר. שינויים הדורשים אימות צריכים מסלול נפרד מהחלפת טקסט רגילה. בדקו מסך שנפתח במקביל לעדכון במקום אחר. אל תאפשרו למשתמש להעלות הרשאות באמצעות נתון שנשלח בטופס הפרופיל.
תרחיש להמחשה
באפליקציה לדוגמה ניתן לשנות שם תצוגה, אך תפקיד ניהולי נקבע בתהליך מורשה. ניסיון לשלוח תפקיד שונה אינו מתקבל רק מפני שהבקשה הגיעה ממסך הפרופיל.
רשימת בדיקה
- שדות והרשאות מופו.
- השרת בודק שינוי.
- מצב לא שמור ברור.
- שינוי הדורש אימות הופרד.
- ערך שהתעדכן במקביל מקבל טיפול.
בדיקת החלטה לפני שממשיכים
נסו לשנות שדה שלא מותר למשתמש לערוך בסביבת בדיקה. השרת צריך לדחות אותו גם כשהבקשה תקינה בצורתה, ולא להסתמך על העדר שדה במסך.
שאלה שכדאי להכניס לבריף
אילו פרטים המשתמש רשאי לשנות, ואילו מנוהלים בתהליך אימות או הרשאה אחר?
המוצר והתכולה לבירור
פיתוח פרופיל משתמש — תצוגת מידע ופעולות אישיות. השירות כפוף להצעת מחיר מותאמת לאחר בירור החומרים, ההיקף ונקודות האישור.
לעריכת בריף ולפנייה בנושא המוצר.
לכל המוצרים בתחום פיתוח אפליקציות.
הכנת בריף
כלי לתכנון הפרויקט — אפשר להכין סיכום ולערוך אותו לפני פנייה.