Ce cours pratique pour débutants explique comment un client connecté peut recevoir les données privées d’un autre client. Vous testerez une boutique préparée avec des factures synthétiques et une véritable API à sessions.
Un laboratoire guidé établit l’accès normal, compare le partage explicite à l’accès privé et enregistre une réponse réelle. Un défi indépendant change le client et les relations de partage : vous choisissez vous-même la facture pertinente.
Ce que vous apprendrez
- Vous connecter et envoyer une session client dans des requêtes HTTP.
- Lire le propriétaire et les destinataires du partage avant de juger l’accès.
- Distinguer échec d’authentification, partage légitime et autorisation d’objet manquante.
- Enregistrer une véritable facture privée et la relier au client qui l’a reçue.
À qui s’adresse ce cours
Aux débutants en sécurité et aux développeurs curieux du contrôle d’accès aux API. Vous devez savoir saisir une commande et changer d’onglet. Aucune programmation ni expérience de test web n’est nécessaire.
LabEx fournit un Client Terminal isolé et le portail Invoice Desk dans chaque unité. Les données sont synthétiques ; seuls les comptes et objets fournis sont autorisés.
Questions fréquentes
Faut-il installer un proxy ou configurer un serveur ?
Non. L’environnement est prêt. Vous utilisez le navigateur et curl ; chaque nouvelle option est expliquée dans le laboratoire.
Vais-je réparer l’application ?
Le cours se termine par la validation d’accès autorisée : obtenir la facture désignée et comprendre pourquoi le serveur doit vérifier propriété ou partage. La réparation du serveur n’en fait pas partie.
Comment la réussite est-elle vérifiée ?
Les contrôles comparent les octets enregistrés à la facture désignée et à son téléchargement réel, enregistré côté serveur sous l’identité du client. Aucun rapport ni capture n’est demandé.
