আধুনিক একক পৃষ্ঠার অ্যাপ্লিকেশনগুলির বেশিরভাগ ক্ষেত্রে, আমাদের অবশ্যই টোকেনটি ক্লায়েন্টের পাশে কোথাও সংরক্ষণ করতে হবে (সর্বাধিক সাধারণ ব্যবহারের ক্ষেত্রে - ব্যবহারকারীকে একটি পৃষ্ঠা রিফ্রেশ করার পরে লগইন রাখতে)।
মোট দুটি বিকল্প উপলব্ধ রয়েছে: ওয়েব স্টোরেজ (সেশন স্টোরেজ, স্থানীয় স্টোরেজ) এবং একটি ক্লায়েন্টের সাইড কুকি। উভয় বিকল্প ব্যাপকভাবে ব্যবহৃত হয়, তবে এর অর্থ এই নয় যে তারা খুব সুরক্ষিত।
টম অ্যাবট জেডাব্লুটি টি সেশন স্টোরেজ এবং লোকালস্টোরেজ সুরক্ষা সম্পর্কে ভালভাবে সংক্ষিপ্তসার জানিয়েছে :
ওয়েব স্টোরেজ (লোকালস্টোরেজ / সেশনস স্টোরেজ) একই ডোমেনে জাভাস্ক্রিপ্টের মাধ্যমে অ্যাক্সেসযোগ্য। এর অর্থ হল যে আপনার সাইটে চলমান যে কোনও জাভাস্ক্রিপ্টের ওয়েব স্টোরেজে অ্যাক্সেস থাকবে এবং এর কারণে ক্রস-সাইট স্ক্রিপ্টিং (এক্সএসএস) আক্রমণে ঝুঁকিপূর্ণ হতে পারে । সংক্ষেপে, এক্সএসএস হ'ল ধরণের দুর্বলতা যেখানে কোনও আক্রমণকারী জাভাস্ক্রিপ্ট ইনজেক্ট করতে পারে যা আপনার পৃষ্ঠায় চলবে। বেসিক এক্সএসএস আক্রমণগুলি ফর্ম ইনপুটগুলির মাধ্যমে জাভাস্ক্রিপ্ট ইনজেক্ট করার চেষ্টা করে, যেখানে আক্রমণকারী <script>alert('You are Hacked');</script>একটি ব্রাউজার দ্বারা চালিত হয় কিনা তা দেখার জন্য একটি ফর্ম রাখে এবং অন্যান্য ব্যবহারকারীরা এটি দেখতে পারবেন।
এক্সএসএস প্রতিরোধের জন্য, সাধারণ প্রতিক্রিয়া হ'ল সমস্ত অবিশ্বস্ত ডেটা এড়ানো এবং এনকোড করা। প্রতিক্রিয়া (বেশিরভাগ) আপনার জন্য তা করে! এক্সএসএস দুর্বলতা সুরক্ষা কতটা দায়বদ্ধ তা নিয়ে এখানে একটি দুর্দান্ত আলোচনা ।
কিন্তু এটি সমস্ত সম্ভাব্য দুর্বলতাগুলি কভার করে না! আর একটি সম্ভাব্য হুমকি হ'ল সিডিএন বা বাইরের অবকাঠামোতে হোস্ট করা জাভাস্ক্রিপ্টের ব্যবহার ।
টম আবার এখানে:
আধুনিক ওয়েব অ্যাপ্লিকেশনগুলিতে এ / বি পরীক্ষার জন্য তৃতীয় পক্ষের জাভাস্ক্রিপ্ট লাইব্রেরি, ফানেল / বাজার বিশ্লেষণ এবং বিজ্ঞাপনগুলি অন্তর্ভুক্ত রয়েছে। আমরা আমাদের অ্যাপ্লিকেশনগুলিতে অন্যান্য লোকের কোড আমদানি করতে বোভারের মতো প্যাকেজ পরিচালকদের ব্যবহার করি।
আপনার ব্যবহৃত স্ক্রিপ্টগুলির মধ্যে একটির মধ্যে যদি আপত্তি হয় তবে কী হবে? ক্ষতিকারক জাভাস্ক্রিপ্ট পৃষ্ঠাটিতে এম্বেড করা যেতে পারে এবং ওয়েব স্টোরেজ আপোষযুক্ত। এই ধরণের এক্সএসএস আক্রমণগুলি তাদের অজান্তেই আপনার ওয়েবসাইট পরিদর্শনকারী প্রত্যেকের ওয়েব স্টোরেজ পেতে পারে। সম্ভবত এই কারণেই সংস্থাগুলির একগুচ্ছ ওয়েব স্টোরেজে কোনও মূল্যবোধ সঞ্চয় করতে বা কোনও তথ্যতে বিশ্বাস না করার পরামর্শ দেয়। এর মধ্যে সেশন শনাক্তকারী এবং টোকেন অন্তর্ভুক্ত রয়েছে।
সুতরাং, আমার উপসংহারটি হ'ল স্টোরেজ মেকানিজম হিসাবে, ওয়েব স্টোরেজ স্থানান্তরকালে কোনও সুরক্ষিত মান প্রয়োগ করে না । যে কেউ ওয়েব স্টোরেজ পড়েন এবং এটি ব্যবহার করেন তাদের অবশ্যই যথাযথ পরিশ্রম করতে হবে তা নিশ্চিত করার জন্য যে তারা সর্বদা এইচটিটিপিএসের মাধ্যমে জেডব্লিউটি প্রেরণ করে এবং কখনও এইচটিটিপিতে নয়।