OWASP Top 10 на практике

OWASP Top 10 — это список самых частых веб-уязвимостей. Он и на интервью, и в ревью-чеклистах. Разбираем не теорией, а «как ломают и как чинить».

XSS — внедрение скриптов

// уязвимо: пользовательский ввод вставляется в HTML как есть
div.innerHTML = `Привет, ${comment.text}`;

// безопасно: текст, а не HTML
comment.textContent = comment.text;

CSRF, IDOR, инъекции

• CSRF: злой сайт отправляет запрос от вашего куки-токена → защита: CSRF-токены (или SameSite cookies) и проверка Origin;
• IDOR: менять id в URL, чтобы увидеть чужие данные → всегда проверять права на объект, а не только авторизацию;
• SQL-инъекция: параметризованные запросы исключают проблему — «$1» вместо склейки строк.

// безопасно: параметризованный запрос
await db.query("SELECT * FROM posts WHERE id=$1 AND user_id=$2", [id, userId]);