Ich werde deine Web-App auf beschädigte Zugriffskontrollen und Datenlecks zwischen Nutzern testen

Kann ein Kunde die Daten eines anderen Kunden sehen? Kann ein normaler Nutzer über das Ändern einer ID in einer Anfrage zu Admin-Funktionen gelangen? Automatisierte Scanner finden das selten. Es ist der häufigste schwere Fehler in Web-Apps, und genau das teste ich.

Ich habe Zugriffskontroll-Tests auf einer HIPAA-konformen Telemedizin-Plattform geschrieben und bestätigt, dass jede Nutzerrolle nur auf die Patientendaten zugreifen kann, die sie sehen darf. Ich bin Full-Stack-Entwickler mit Django, Next.js und PostgreSQL, also lese ich deine App so, wie sie gebaut wurde.

Was ich manuell prüfe, mit Test-Accounts, die du mir gibst:

• Ob jede Rolle nur ihre eigenen Datensätze lesen oder ändern kann
• Ob IDs in URLs und API-Aufrufen ausgetauscht werden können, um auf Daten anderer Nutzer zuzugreifen
• Ob Admin-Aktionen für normale Nutzer am Server blockiert sind, nicht nur versteckt in der UI
• Ob Mehrmieter-Apps im Zaum bleiben

Du bekommst einen Bericht, der jedes Problem mit seiner Schwere, die genauen Schritte zur Reproduktion und eine Lösungsvorschlag enthält.

Sag mir etwas zu deiner App und den Nutzerrollen, und ich bestätige den Umfang.