OWASP Top 10 چیست؟

چند مورد پرتکرار

• Injection (مثل SQL Injection): ورودی کاربر مستقیم در Query ترکیب شود. راه‌حل: پارامتری‌سازی (Parameterized Query) و Stored Procedure.
• Broken Authentication: مدیریت ضعیف رمز عبور/نشست. راه‌حل: هش رمز عبور (PBKDF2/bcrypt)، انقضای Token، 2FA.
• XSS (Cross-Site Scripting): تزریق اسکریپت مخرب در صفحه از طریق ورودی کاربر. راه‌حل: Encode کردن خروجی HTML.
• CSRF: اجرای عملیات ناخواسته از طرف کاربر لاگین‌شده توسط سایت مخرب دیگر. راه‌حل: Anti-Forgery Token.
• Security Misconfiguration: تنظیمات پیش‌فرض ناامن (مثلاً نمایش Stack Trace کامل در Production).

مثال جلوگیری از SQL Injection در .NET

// ناامن: مستقیم Concatenate کردن ورودی کاربر
var sql = $"SELECT * FROM Users WHERE Email = '{email}'";

// امن: پارامتری‌شده
var sql = "SELECT * FROM Users WHERE Email = @Email";
command.Parameters.AddWithValue("@Email", email);

اشتباه رایج

❌ اعتماد به ورودی سمت کلاینت (فرض کردن که چون فرم HTML مقدار را محدود کرده، سمت سرور نیازی به اعتبارسنجی نیست). ✅ همیشه اعتبارسنجی و Sanitize روی سرور انجام شود؛ کلاینت فقط یک لایهٔ تجربهٔ کاربری اضافه است.