Sqids в Laravel: практическое руководство по обфускации ваших ID

Одна из опасностей, которую многие разработчики упускают из виду, — это перебор идентификаторов (key enumeration).

Когда злоумышленник находит брешь в контроле доступа вашего приложения, ему становится тривиально пройтись по всем последовательным ID, которые отдаёт эндпоинт, и собрать все записи этого ресурса. Один архивариус в 2021 году знаменито выкачал терабайты публичного контента Parler — и всё благодаря предсказуемым последовательным идентификаторам, отсутствию требования авторизации для публичного API и отсутствию нормального рейт-лимитирования.

Решение проблемы — сделать ID неинкрементными.

👉 https://www.kobzarev.com/laravel/sqids-in-laravel-short-public-ids/

#php #laravel #security #uuid

👮‍♂️ Злой полицейский