Практический курс для начинающих объясняет, как вошедший в систему клиент может получить закрытые данные другого клиента. Вы протестируете подготовленный магазин с синтетическими счетами и настоящим API с серверными сессиями.
Одна управляемая лабораторная работа показывает обычный доступ, сравнивает явный общий доступ с закрытыми данными и сохраняет настоящий ответ. В самостоятельном задании меняются клиент и отношения общего доступа, поэтому нужный счёт вы выбираете сами.
Чему вы научитесь
- Входить в систему и передавать клиентскую сессию в HTTP-запросах.
- Читать владельца и список получателей общего доступа до оценки разрешений.
- Различать ошибки аутентификации, законный общий доступ и отсутствие проверки доступа к объекту.
- Сохранять настоящий закрытый счёт и связывать его с получившим клиентом.
Для кого этот курс
Для начинающих в безопасности и разработчиков, интересующихся контролем доступа к API. Нужно уметь вводить команду и переключать вкладки. Программирование и опыт веб-тестирования не требуются.
LabEx предоставляет изолированный Client Terminal и портал Invoice Desk в каждом разделе. Все данные синтетические; разрешены только указанные аккаунты и объекты.
Часто задаваемые вопросы
Нужно устанавливать прокси или настраивать сервер?
Нет. Среда готова. Вы используете браузер и curl; каждая новая опция объясняется в лабораторной работе.
Буду ли я исправлять приложение?
Курс заканчивается разрешённой проверкой доступа: получить заданный счёт и понять, почему сервер должен проверять владельца или общий доступ. Исправление сервера не входит в курс.
Как проверяется выполнение?
Проверки сравнивают сохранённые байты с заданным счётом и реальной серверной записью скачивания от имени клиента. Отчёт или снимок экрана не нужен.
