Blog
Mert Özen'in yazılım geliştirme, backend, frontend ve DevOps üzerine blog yazıları.
API1 BOLA'yı Sistematik Kapatmak: Tenant/Owner Scoped Sorgular, Global Query Filter ve Resource-Based Authorization
BOLA'yı her endpoint'e Where ekleyerek değil, kapsamı veri erişim katmanında zorunlu kılarak kapatırsın: EF Core 10'un named query filter'larıyla tenant ve owner filtresi, kapsamsız sorguyu tek bir işaretli class'a hapseden testler, alt kaynak ve toplu işlemlerde ilişki kontrolü, resource-based handler ile 403/404 ayrımı ve matristen otomatik üretilen başka tenant senaryoları.
API Güvenlik Lab'ı: Multi-Tenant Sipariş API'si, Authorization Matrisi ve Güvenlik Testi Altyapısı
API güvenliğinin çoğu "kimin verisi" sorusunda bozulur ve bunu ancak endpoint × aktör × kaynak için beklenen durum kodunu yazan, koddan ayrı tutulan bir authorization matrisiyle sistematik olarak yakalarsın. İki tenant'lı, üç rollü bir Minimal API lab'ı kurup matrisi xUnit Theory, WebApplicationFactory ve test authentication handler ile koşturuyor, ilk koşuda sekiz BOLA açığını görüyoruz.