ログイン済みの顧客が別の顧客の非公開データを受け取る仕組みを学ぶ、初学者向けの実践コースです。準備済みの店舗で、合成請求書と実際のセッション式 API をテストします。
1 つのガイド付きラボで通常のアクセスを確かめ、明示的な共有と非公開アクセスを比較し、実際の応答を保存します。1 つの独立したチャレンジでは顧客と共有関係が変わり、対象の請求書を自分で選びます。
学習内容
- ログインし、HTTP リクエストで顧客セッションを送信する。
- 所有者と共有先のフィールドを読んでからアクセスを判断する。
- 認証失敗、正当な共有、オブジェクト認可の欠落を区別する。
- 実際の非公開請求書を保存し、受け取った顧客と関連付ける。
このコースの対象者
セキュリティ初心者や API のアクセス制御に関心のある開発者向けです。端末へのコマンド入力とタブ切り替えができれば、プログラミングや Web テストの経験は不要です。
各単元には隔離された Client Terminal と Invoice Desk が用意されます。データはすべて合成で、提示されたアカウントとオブジェクトだけが許可された対象です。
よくある質問
プロキシのインストールやサーバー設定は必要ですか？
不要です。環境は準備済みです。ブラウザーと curl を使い、新しいオプションはラボ内で説明します。
アプリを修正しますか？
目的は許可されたアクセス検証です。指定された請求書を取得し、サーバーが所有者または共有権限を確認すべき理由を理解します。サーバー修正は扱いません。
完了はどう判定されますか？
保存したバイト列を指定請求書と比較し、顧客の身元で実際にダウンロードされたサーバー記録を確認します。報告書やスクリーンショットは不要です。
