🚀 go-pugleaf

On 2016-11-09 21:12, Lemat wrote:
> W dniu 09.11.2016 o 20:22, mwitkowski2b@gmail.com pisze:
>
>>  w przekonaniu mojego działu bezpieczeństwa zwiększa to 
>> bezpieczeństwo samej strony.
>
> Lemat w swojej nieskromnej osobie wysyła Twój "dział bezpieczeństwa" 
> na natychmiastowe szkolenie z bezpieczeństwa stron www. A tymczasem 
> niech zaczną googlować o OWASP.
>
> A może lepiej wziąć outsourcing audytu?
>
>> Nie traktowałbym tego jako utrudnianie życia użytkownikom, ponieważ 
>> użytkownik musi się zalogować i przeglądać strony nie używając 
>> skrótów do swojego ulubionego miejsca.
>
> Ale serwer musi wiedzieć co wyświetlać użytkownikowi. A wie - bo 
> analizuje najczęściej to, co znajduje się w URLu czyli nazwę dokumentu 
> i jego parametry.
>
Nie wspominając o tym, że zmuszanie do "przeglądania nie używając 
skrótów" jest utrudnianiem życia.

A w tym banku to pewnie jednak ajax. Na pewno mBank tak ma. Ale czy to w 
jakikolwiek sposób bezpieczniejsze? Samo w sobie raczej nie.

Natomiast payU stosuje rozwiążanie z generowaniem dynamicznych linków. 
Wchodząc na stronę A z odnośnikami do B i C dostajemy jakieś głupie ID
zamiast B i C. Te ID pamiętane są pewnie w sesji i tłumaczone na 
kontkretne dalsze adresy. Zawsze można iść o stornę do przodu (i może do 
tyłu? nie
wiem). Wyjątkowo irytujące.