Controlul accesului: oprește IDOR și autorizarea ruptă în aplicația ta AI
Al șaselea curs din seria premium despre securitatea aplicațiilor construite cu AI. Controlul accesului rupt e riscul numărul unu din OWASP Top 10 2025, iar codul generat de AI e de aproape două ori mai predispus să scrie IDOR, după măsurătorile Veracode. Aici înveți ce e autorizarea ruptă și IDOR, de ce apare atât de des în endpoint-urile generate automat, și cum verifici proprietarul resursei pe server, la fiecare cerere. Cu un pattern de autorizare gata de copiat, RLS ca linie de apărare în profunzime, SSRF explicat pe înțelesul tău și o metodă simplă de a te testa singur, defensiv, pe propria aplicație. Cazul Base44 disecat: cum un identificator din adresă a ținut loc de parolă.
Ce înveți
- Ce e controlul accesului rupt și IDOR, cu un exemplu clar de la cap la coadă
- De ce endpoint-urile generate de AI omit atât de des verificarea proprietarului
- De ce autorizarea se decide pe server, nu în client, și de ce ascunderea butonului nu e securitate
- Cum se leagă RLS din Supabase de controlul accesului, ca linie de apărare în profunzime
- Ce e SSRF, de ce a intrat în A01:2025 și cum îl previi cu o allowlist de domenii
- Un pattern de autorizare corect și cum te testezi singur pentru IDOR, pe propria aplicație
Pentru cine e cursul
- Developeri care construiesc aplicații cu Bolt, Lovable, v0, Replit sau Cursor și expun un API
- Fondatori și non-tehnici care livrează un produs cu unelte AI, peste Supabase sau Firebase
- Oricine are endpoint-uri care întorc date după un id și vrea să nu le lase deschise
- Cei care au parcurs cursurile despre Supabase și secrete și vor pasul următor, pe autorizare
De ce ai nevoie
- Nu ai nevoie de experiență în securitate; fiecare noțiune e explicată de la zero
- Ajută dacă ai scris sau ai generat cu AI un API care întoarce date pentru utilizatori
- Exemplele de cod sunt în JavaScript și SQL, dar principiile sunt la fel în orice limbaj
Ce e controlul accesului rupt
2Unde se face verificarea, de fapt
2SSRF și un pattern de autorizare corect
2Testează-te singur și un caz real
2Checklist
1Test final și diplomă
1