Проверьте права доступа, зависимости и обработку данных
Выберите часть проекта для аудита: API, механизм авторизации, зависимости или конфигурацию. Грифон разберёт код и подготовит замечания со ссылками на файлы.
Пример задачи: доступ к чужому заказу
В проекте есть API заказов с несколькими ролями. Нужно проверить, что пользователь не получает данные другого клиента.
- Проследить проверку прав от маршрута до запроса к данным.
- Подтвердить замечание воспроизводимым примером в тестовой среде.
- Подготовить исправление и повторить проверку с разными ролями.
Что получите
Отчёт с основанием в коде, условиями воспроизведения и предложением исправления.
Что передать
Подключите репозиторий в Desktop. Добавьте описание ролей и схемы доступа, если они есть. Для конфигурации достаточно значений, которые нужны для анализа; секреты передавать не нужно.
Как читать замечания
У каждой находки должны быть место в коде, условия возникновения и возможные последствия. Попросите отдельно перечислить гипотезы, которые ещё не удалось подтвердить.
Как проверить исправление
Воспроизведите проблему в тестовой среде, внесите изменение и повторите проверку. Такой аудит помогает находить уязвимости, но не гарантирует, что найдены все.
Безопасность
Наблюдение команды: аудит проекта примерно на 2500 файлов потребовал около 130 глифов. Расход зависит от контекста, режима и действий. Объём проекта не означает проверку каждого файла; исправления и повторные проверки оцениваются отдельно.
Попробуйте на своей задаче
Откройте Web и опишите задачу. Для работы с файлами и командами на компьютере подключите Desktop.