Hafta sonu konuyu kimse grmemiş olabilir bi uplayalım, yorumları, fikirleri bekliyoruz

Hocam token'i sadece deneme amaçlı kullanmıştım Proje içine tokenli işlem dahil etmedim şuana kadar gerek duyarsam eklerim. Token de şyle oluyor mesela Kullanıcı adı şifre doğru ise Kullanıcıya Değişken tokenler veriyorsun bu tokenlerle get veya post işlemini yapıyorsun. Bu sebepten dolayı adam giriş yapmadığı sürece adamların senin servisini kullanmasına izin vermiyorsun. Bide şyle bir nem almak gerekiyor mesela adam sonsuz defa senin servisine post ederek bütün başarılı loginleri çekebilir bunun için de 3.-5. denemeden sonra Adama "hayırdır sen heykır mısın yoksa? " dedirtmen gerekiyor. bide şyle bir nlem alınması gerekiyor mesela 1 key ile bütün işlemleri yapamaz kullanıcıyı da izlemen gerekiyor. Hatta yaptığı postlara falan da kısıt koylamısın rneğin E-ticaret sistemi yaptım diyelim adam giriş yaptı ordan tokeni çekti. bu adam o token ile milyon tane ürünü sepete koyabilir yada 1 ürünü 50-60 defa alıp tek 1 defa deme yapabilir bunların da nlemleri almak gerekiyor sunucu tarafında. Şahsen ben gerek kalmadıkça program içerisine kod yazmamaya çalışıyorum. hep sunucu çalışsın ama bu seferde sunucuyu yoruyorum. Tartışılabilir :D bunlar benim bildiğim yada bildiğimi sandıklarım :) Andolsun kuşluk vaktine ve dindiği zaman o geceye ki, Rabbin sana veda etmedi ve darılmadı! Ve kesinlikle senin için sonu nünden daha hayırlıdır. ileride Rabbin sana verecek de hoşnut olacaksın! O, seni bir yetim iken barındırmadı mı? Seni, yol bilmez iken yola koymadı mı? Seni bir yoksul iken zengin etmedi mi? yle ise, sakın yetime kahretme ! El açıp isteyeni de azarlama! Fakat Rabbinin nimetini anlat da anlat!

cevaplar için sağolun beyler, varmı farklı yntemleri olan, şunu şunu kullanıyorum şyle yapıyorum diyen

Redbeanphp ve router kullanıyorum. Her kullanici için her login olduğunda bi token oluşuyor. Veritabanındaki token ile eşleşiyorsa sonuc olumlu oluyor En iyisi olmadan nce, her zaman en ktüsü olmaz mı?

Evet beyler sorumuzu detaylandıracak olursak, rest api şeklinde çalışma yaparken aldığınzı güvenlik nlemleri nelerdir? Senaryo üzerinden gidersek, Bir üyelik sistemi olduğunu varsayıp üye kaydı, üye login işlemlerini yaparken güvenlik olarak nelerdir? site.com/api/uyeOlustur adresinde üyeliğimizi oluşturacağımız functionu çağırdığımzıda hangi güvenlik nlemlerini nasıl alıyorsunuz? Mesala üyelik oluşturuken kullanıcıya güvenlik kodu soruyormusunuz, soruyorsanız kodu nerede oluşturup kullanıcıya sunuyorsunuz? Yada login işleminde token kullanımını nasıl yapıyorsunuz, token oluşturup doğrulama dışında başka işlemler yapıyormusunuz? Hadi biraz bu konuları tartışalım bakalım nasıl fikirler ortaya çıkacak

hocam kullanıcı girişleri ile uğraşmak istemezseniz https://auth0.com/ adresini inceleyebilirsiniz. bu hizmeti servis olarak ücreti mukabilinde sağlıyorlar. dokümanları oldukça geniş. ayrıca https://www.owasp.org/index. php/REST_Security_Cheat_Sheet adresinden de faydalanılabilir.

Soruların birazcık hatalı ama anladığımı tahmin ettiğim gibi yazmaya çalışayım. Güvenlik nlemleri klasik sistemler ile restful api sistemler için farklı değil. Her işlem için cookie değeri istenebilir ya da cookie mümkün olmuyorsa post değerine token eklenmesi sağlanır. Ve sadece giriş ve kayıt için değil her post ile yapılan isteklerde bir güvenlik değeri olmasında fayda var. Tabi bu post değeri veritabanını etkiliyor ya da hatrı sayılır miktarda işlem yükü oluşturan post istekleri ise eklemek lazım. Yoksa post ile yapılacak işlem güvenlik değerinin çzülmesinden daha az sistem kaynağı harcıyorsa eklemeye gerek yoktur. Güvenlik kodu için ise sistemin anlık durumuna gre girilmesini istemek daha iyidir. rneğin son bir saatte bin adet yeni üye oluşturulmuş ise sistem saldırı altında diye yeni üyelik için güvenlik kodu girilmesi zorunlu hale getirilir ve o gün kayıt olan her üyenin de sisteme giriş yaptıktan sonra güvenlik kodu girmesi istenir. Güvenlik kodu girilmesi gerektiği zamanlarda /kayit-ol sayfası istendiğinde form tokenı iliştirir gibi resim urlsini de ekleyeceksin. Hatta resmi base64 şeklinde bile iliştirebilirsin. Token dışında en nemli güvenlik nlemi IP. Onuda şyle yapmak en iyisi oluyor. Mesela bir üye giriş yapmış ve IP bilgisi kişinin Türkiye/Ankara'da olduğunu sylüyor. Ve bu adamın IP'si sürekli Türkiye bilgisini sağlıyor. Üye birden İngiltere IP'si ile bağlanırsa hemen şifre girmesini istiyoruz. Şüpheli işlem olarak isim veriyoruz. Tabi bunu uygulamak üyelerin ne kadar nemli bilgileri olduğuna bağlıdır. Byle daha başka yntemlerde var ama en verimlisi bunlar. Edit: en nemli şeyi unutmuşum HTTPS. İç ağdan verilerin çalınmamasıda oldukça nemli konu. PcK0 tarafından 11/Nis/16 19:53 tarihinde düzenlenmiştir Sadece bi imza..

https://jwt.io/ Login için bu standarta bakabilirsin. Ip request limiti koymak mantıklı. Telefon için yazdığını varsayıyorum. Captcha falan kullanıcıyı soğutan birşey telefonda. Ama illa yapıcam diyorsan kodu server tarafında oluşturup resim url'ini vermen gerek. Genel olarak aklıma gelenler bunlar. There are 10 types of people in the world. Those who knows binary and those who dont...