أمن تطبيقات الويب: OWASP Top 10:2025

طريقان إلى نفس الفكرة

قبل أن تبدأ

الفكرة الجوهرية

1القائمة كاملة بمثال لكل بند

قائمة OWASP هي المرجع الأشهر لأخطر عشر فئات في تطبيقات الويب، وتُحدَّث كل بضع سنوات من بيانات اختبارات حقيقية. لا تحفظ الأرقام؛ افهم الفكرة وراء كل بند ودفاعها.

2A01: كسر التحكم بالوصول

هذه الفئة الأولى لأنها الأكثر انتشارًا وأسهلها استغلالًا: يكفي أن تغيّر رقمًا. الخطأ الشائع أن المطوّر يخفي الزر في الواجهة ويظن أن المستخدم لن يصل للصفحة. لكن المهاجم لا يستخدم واجهتك؛ يرسل الطلب مباشرة. التحقق مكانه الخادم، في كل طلب.

3A05: الحقن، وجرّبه بنفسك

الحقن يحدث حين يدخل نص المستخدم في أمر يُنفَّذ، فيتحول جزء منه إلى أوامر. القاعدة لكل أنواعه: افصل الأوامر عن البيانات.

الاستعلام غير الآمن أعاد كل الصفوف، والمهيّأ لم يُعد شيئًا لأن النص بقي نصًا. غيّر typed إلى بريد سارة وشغّل.

import sqlite3

db = sqlite3.connect(":memory:")
db.execute("CREATE TABLE users (email TEXT, secret TEXT)")
db.executemany("INSERT INTO users VALUES (?, ?)",
               [("sara@example.com", "salary 18,000"), ("omar@example.com", "salary 21,500")])

typed = "' OR '1'='1"   # what an attacker types in the email box

unsafe = "SELECT * FROM users WHERE email = '" + typed + "'"
print("unsafe:", db.execute(unsafe).fetchall())

safe = db.execute("SELECT * FROM users WHERE email = ?", (typed,)).fetchall()
print("safe:  ", safe)

وXSS هو الحقن نفسه لكن في المتصفح: نص المستخدم يُعرض في الصفحة كأنه كود JavaScript. الدفاع ترميز المخرجات حسب مكان عرضها، وسياسة أمن المحتوى (CSP).

4الجديد في 2025: سلسلة التوريد والفشل الآمن

مشروعك الحديث 80% منه أو أكثر كود كتبه غيرك: مكتبات npm وpip. A03 تقول إن مكتبة مخترقة واحدة تكفي. الدفاع: اعرف ما تستخدمه (SBOM)، وثبّت الإصدارات، وافحص الاعتماديات تلقائيًا. وA10 الجديدة عن الأخطاء: النظام الذي «يفتح» حين يتعطل، مثل باب إلكتروني ينفتح عند انقطاع الكهرباء، خطر. افشل مغلقًا.

مثال محلول

المسألة: في تطبيق متجر، رابط الطلب /orders/5521. صمّم فحصًا يمنع A01.

الحل: في الخادم، بعد التحقق من هوية المستخدم من جلسته (لا من الرابط)، اجلب الطلب ثم قارن مالكه بالمستخدم الحالي: إن لم يطابق، أعد 404 لا 403 حتى لا تكشف أن الطلب موجود. ضع هذا الفحص في مكان واحد يمر به كل مسار، واكتب له اختبارًا آليًا يحاول فتح طلب مستخدم آخر ويتوقع الرفض.

خرافة مقابل حقيقة

أين تقابله في العمل

اختبر فهمك

بطاقات مراجعة سريعة

تحقق من فهمك