плане защиты?
Всегда предполагайте что клиент находится в руках врага, так и проектируйте
Да тежи самые куки Не очень хорошо дружат с РН Это так? И использовать их Это только гемор на стороне фронта Но в плане безопасности они не особо помогут ???
ну смотри, по сути тебе важно на прикладном уровне защититься от 2-х вещей: 1. мамкины хакеры. 2. пользователи. мамкины хакеры любят сканировать порты, пентестить и делать реверс инженеринг. порты надо скрыть и проверять время от времени, а вот реверс инженеринг допускать нельзя и это реально. первый шаг вы сделали, поставили https, шаг номер два, не менее важен — ловить атаки вроде mitm. этим занимаются сами оси, но с jailbreak и root это можно отключить, поэтому важно проверять коренной серт именно на бэке. к этому же стоит добавить проверку на рута/джейла. таким пользователям доверять нельзя. пентест своих же апи — хорошая практика. вторая важная штука — защита от пользователей. пользователю верить нельзя, все данные от него надо валидировать, с базой общаться через pdo, если не знаете как обезопасить запросы от inj. все проверки прав доступа делать на бэке. был недавно случай, крупное детское приложение, позволяет зайти родителю как бы от ребёнка, посмотреть что там происходит. реверсом получил апи, смотрю, там прям id пользователя, а в ответ токен. пробую рандомный id, получаю токен. подставляю токен — вуаля. не надо так 🤷♂️ cors поможет не юзать ваши апи незаметно для пользователя. csrf не позволит вашим пользователям загружать контент в приложении из неизвестных источников. и то и другое не так важно, если у вас авторизация через заголовок.
не юзайте куки ) не нужны они в рн. асинксторейдж секьюрсторейдж, но не куки
Обсуждают сегодня