Подготовка к интервью
Разбирайте реальные вопросы, сверяйтесь с подробными ответами и готовьтесь по технологиям и компаниям.
Проверьте, насколько резюме подходит выбранной позиции, и получите рекомендации по улучшению.
Каталог
Наиболее точный вариант — программно обработать исключение и при подходящем сценарии продолжить работу. Обработка ошибок не гарантирует безопасность и не исключает любые неверные результаты.
Читать ответSSRF заставляет сервер обращаться по адресу, выбранному атакующим, в том числе к внутренним сервисам. Проверять нужно не только строку URL, но и фактическое сетевое назначение.
Читать ответIDOR возникает, когда backend принимает ID объекта, но не проверяет право пользователя на этот объект. Middleware с одной проверкой входа не способен автоматически определить такое нарушение.
Читать ответСотрудники должны пройти обучение до пятницы. Подрядчики освобождены от этого общего срока, но обязаны пройти обучение до получения доступа к VPN.
Читать ответНазовите только реальные случаи и свой вклад в их разбор. Типичные классы риска — prompt injection, утечка данных, чрезмерные права инструментов и небезопасная обработка вывода.
Читать ответПравильный ответ — А: безопасность учитывается при планировании администрирования. Автоматизация, экономия и понимание потребностей пользователей важны, но не в абсолютных формулировках остальных вариантов.
Читать ответПроблема в общем изменяемом поле mdDigest: потоки могут заменить его между созданием и использованием, а MessageDigest хранит состояние. Сделайте digest локальной переменной метода.
Читать ответНет: AtomicInteger делает атомарными операции над отдельным полем, но не сохраняет инвариант между двумя полями. Проверка и обновление пары могут перемежаться с действиями другого потока.
Читать ответПо описанию это связь многие-ко-многим, несмотря на заголовок. Нужны resources, vulnerabilities и таблица связей с составным уникальным ключом.
Читать ответCSRF заставляет браузер пользователя выполнить нежелательное действие с автоматически прикрепляемыми учётными данными, например session cookie. Защита должна проверяться сервером.
Читать ответЗащитите LDAP-соединение TLS с проверкой сертификата и имени сервера, отделите аутентификацию от вычисления прав и продумайте обновление групп.
Читать ответДля чувствительных медицинских данных нужны минимальные права, строгая изоляция, шифрование, аудит доступа и контроль целостности. Архитектура должна исходить из модели угроз.
Читать ответ