Подготовка к интервью
Разбирайте реальные вопросы, сверяйтесь с подробными ответами и готовьтесь по технологиям и компаниям.
Проверьте, насколько резюме подходит выбранной позиции, и получите рекомендации по улучшению.
Каталог
Аутентификация пользователей и сервисов, серверная проверка прав, безопасное применение токенов и дополнительные меры защиты API.
Читать ответЦепочка выдачи временного пароля: проверка идентичности сервиса, политики Vault, роль database secrets engine и отдельные права в БД.
Читать ответЧем доверие между доменами отличается от разрешений на ресурсы и какую дополнительную проверку вводит избирательная аутентификация.
Читать ответIDOR возникает из-за отсутствующей проверки доступа к объекту. Почему UUID, скрытые поля и успешный вход не заменяют серверную авторизацию.
Читать ответРазличаем исторический OpenID, аутентификацию через OIDC и делегированный доступ OAuth 2.0; объясняем назначение ID Token и Access Token.
Читать ответРазница между аутентификацией и авторизацией Безопасность и контроль доступа Аутентификация устанавливает личность пользователя: кто он Способы: логин и пароль, токены, биометрия Авторизация определяет права…
Читать ответМетоды безопасной передачи конфиденциальных данных через API Для защиты данных во время передачи применяют шифрование канала с помощью TLS/SSL HTTPS Личность пользователя подтверждают средствами аутентификации:…
Читать ответМеханизмы аутентификации и авторизации в микросервисной архитектуре с Spring Security Аутентификация — это подтверждение личности пользователя либо сервиса Авторизация — определение доступных ресурсов на основании…
Читать ответТестирование авторизации и критически важных функций Критические функции: безопасность и доступность Начать следует с требований: роли, права и пользовательские сценарии Применять позитивные и негативные тестовые…
Читать ответКонтекст: защита аутентификации и токенов доступа Access-токены имеют короткий срок действия — обычно от нескольких минут до нескольких часов Refresh-токены действуют дольше и предназначены для выпуска новых…
Читать ответАвторизация через JWT и имперсонализацию JWT представляет собой токен доступа, содержащий закодированные данные пользователя Сервер подписывает токен, что гарантирует его целостность и безопасность Имперсонализация…
Читать ответоптимальный и наиболее распространённый способ — передать Bearer-токен в HTTP-заголовке Authorization.
Читать ответ