امنیت وب را نباید بعد از ساخت سایت شروع کرد
فهرست مطالب~۲۲۰ واژه۱/۶ — ۱۷٪
یک اشتباه رایج
بعضی توسعه‌دهندگان ابتدا کل سایت را می‌سازند و در آخر می‌گویند:
«حالا امنیتش را درست کنیم.»
این رویکرد خطرناک است.
امنیت باید از طراحی سیستم وارد پروژه شود.
Authentication با Authorization فرق دارد
این دو اصطلاح اغلب با هم اشتباه گرفته می‌شوند.
Authentication:
«تو چه کسی هستی؟»
Authorization:
«تو اجازه انجام چه کاری را داری؟»
مثلاً یک کاربر ممکن است وارد سیستم شده باشد، اما اجازه ورود به پنل مدیریت را نداشته باشد.
Route Protection
یکی از مهم‌ترین قسمت‌های Backend این است که صرفاً مخفی کردن یک دکمه را به‌عنوان امنیت در نظر نگیریم.
مثلاً:
Admin Button → Hidden
امنیت واقعی نیست.
کاربر ممکن است مستقیماً Endpoint را درخواست کند.
پس Backend باید خودش Permission را بررسی کند.
اصل مهم
هر درخواست حساس باید دوباره بررسی شود.
مثلاً:
Request
↓
Authenticated?
↓
Authorized?
↓
Validate Input
↓
Perform Action
موضوع داغ ۲۰۲۶: امنیت Agentها
با افزایش استفاده از coding agentها، امنیت فقط درباره برنامه‌ای که می‌سازیم نیست.
خود ابزارهای Agent، MCP Serverها، Skillها و تنظیمات آن‌ها نیز می‌توانند سطح حمله ایجاد کنند.
یک مطالعه منتشرشده در سپتامبر ۲۰۲۶ روی هزاران Repository نشان داده که بخشی از پیکربندی‌های Agent دارای مشکلات امنیتی قابل تشخیص هستند، از جمله MCPهای بدون نسخه Pinشده و مجوزهای اجرای بیش از حد گسترده.
نتیجه
امنیت یک Feature نیست.
یک Property برای کل سیستم است.
هرچه پروژه بزرگ‌تر می‌شود، Authentication، Authorization، Validation و Logging اهمیت بیشتری پیدا می‌کنند.
نوشته‌های مرتبط
Flask یا FastAPI؟ انتخاب Backend مناسب برای پروژه واقعی
Flask یا FastAPI؟ مقایسه‌ای منصفانه برای انتخاب Backend مناسب پروژه‌ی واقعی؛ از انعطاف معماری تا مستندسازی خودکار API.
REST API چیست و چگونه یک API حرفه‌ای طراحی کنیم؟
از متدهای HTTP و Status Codeها تا ساختار پاسخ منظم و صفحه‌بندی؛ اصول طراحی یک REST API حرفه‌ای با قرارداد مشخص.