وقتی دارین JWT رو خودتون مینویسید چند تا سوال از خودتون بکنید

۱. آیا توکن سمت مرورگر یا کلا کلاینت جایی غیر از کوکی ذخیره میشه؟ یا کلا جای نا امن(مثل لوکال استوریج)
۲. آیا اتک CSRF ممکنه بخورم؟
۳. آیا یک رفرش توکن میتونه چند بار استفاده شه؟
۴. آیا کاربر نمیتونه لاگ اوت کنه؟
۵. آیا وقتی کاربر رمزشو ریست میکنه بقیه رفرش توکن هایی که با رمز قبلی بودن اکسپایر نمیشن؟
۶. ایا اصل و benefit خوده JWT رو نقض کردم؟ (مثلا با هر درخواست هیت میزنم به دیتابیس؟ و sateful هست؟)
۷. آیا دیتایی که تو رفرش توکن یا اکسز توکن هست رو یک نفر دیگه به جز کاربر ببینه میتونه باهاش دسترسی خاصی بگیره؟‌(فرضا توکن اسکپایر شده خوده دیتا رو میگم)
۸. ایا SECRET KEY من ثابته و roate نمیشه؟
۹. آیا برای منیج Env variable هام دارم از .env استفاده میکنم؟
۱۰. آیا طول عمر اکسز توکنم زیاده؟

اگه جواب یکی از این سوالا آره باشه, یعنی سیستم احراز هویتتون vulnerability داره. اگه جواب سوال ۶ آره باشه یعنی ماهیت JWT رو درک نکردین.من معمولا یک extension دارم رو مرورگرم که کوکی و لوکال استریج و سشن استوریج رو نشون میده و این مورد رو تو سایتای ایرانی بررسی کنید متاسفانه حتی سایت های خیلی معروفم اینا رو رعایت نمیکنن و همین باعث میشه که این فاجعه ها پیش بیاد در حالی که تو سایتای خارجی اکثرا میبینم این موارد رعایت شده.

دقت کنید رعایت این موارد حتی از آسیب پذیری های سمت کلاینت هم جلوگیری میکنه. آسیب پذیری سمت کلاینت تا حد خیلی زیادی بازم به عهده شماست, نباید طوری باشه که طرف بتونه با یک دسترسی سطح پایین به کلاینت همه چیشو دربیاره از سایتتون.

@ManiFoldsPython

مصاحبه زنده tech immigrant با رشاد انصاری ساعت.
رشاد برنامه نویس بک اند پایتونه و منم هاستم 👀

https://www.youtube.com/live/KuCm-Rm8O_M?si=5uLmH8YT-zAoVe4L

@ManiFoldsPython

کیفیت یک دیزاین خوب:

High Reusability
High Readability
High Testability
High Flexibility

اینو درنظر داشته باشین برای ادامه دوره دیزاین پترن. تمام هدف ما همینه که کدمون تو چهارچوب این چهار مورد باشه.

@ManiFoldsPython

لینک گیتهاب دوره دیزاین پترن
جزوه و مثال های دوره همه اینجا ذخیره خواهند شد.

https://github.com/ManiMozaffar/design-101

@ManiFoldsPython

در ادامه دوره دیزاین پترن ها, دو ویدیو منتشر کردم/ جمع بندی از OOP کردیم که در ادامه دوره با کلمه هایی که استفاده میشه آشنایی کامل داشته باشین
تو این ویدیو پرداختم به مفاهیم ارث بری و hierarchies و مثال زدم و کاربردشون رو توضیح دادم

https://www.youtube.com/watch?v=2N-d_s1Lvqc&list=PLEQ3RnweNGA5XLLANrPl5erS90EREs0F0&index=2

تو ویدیو بعدی پرداختم به Abstraction و Encapsulation و Polymorphism و مجددا مثال زدم که کدمون بدون رعایت این موارد چطور میشد و بعد از رعایتشون چطور شد و کاربردشون کجاست؟

https://www.youtube.com/watch?v=jvXn8VcJPNY&list=PLEQ3RnweNGA5XLLANrPl5erS90EREs0F0&index=3

سوالی داشتین حتما کامنت کنید زیر ویدیو.

@ManiFoldsPython

این مدت پیام‌های زیادی رو میگرفتم که بچه‌ها میپرسیدن در ایران که دسترسی به AWS نداریم، چطور AWS رو یاد بگیریم؟

توی این ویدیو ۱۰ روش مختلف رو توضیح دادم که برای یادگیری AWS در ایران میتونید استفاده کنید و خودم هم زمانی که در ایران بودم از همین روش‌ها استفاده کردم برای یادگیری AWS و سرویس دهنده‌های کلاد، امیدوارم کمک کننده باشه.

🖥 مشاهده در یوتوب
👉 Link: https://youtu.be/WXwZ33Ntss8?si=9EeCKzjaaWV0vx2y

#AWS #Cloud
〰️〰️〰️〰️〰️〰️
@BobyDotCloud

ACLOUDGURU 🤝👌

تو گروه یک سوال خیلی خوب پرسیدن:
ایا امکان داره که از سمت بکند ی محدودیتی ایجاد کنیم و بگیم فقط از جایی که مشخص شده ریکوئست ها جواب داده بشه؟ مثلا من ی بکند دارم و ی فرانت اند و بگم فقطذاز سمت فرانتم بشه ریکوئست فرستاد و کسی نتونه دستی ریکوئست بزنه

چند تا جواب تو گروه دادن که خیلی کامل نبود. کتاب HTTP: The Definitive Guide رو توصیه میکنم بخونید. به عنوان یک بک اند دولوپر حتما و حتما باید درک کنیم http رو چون خیلی سرو کار داریم باهاش
ما یک چیزی داریم بهش میگن request spoofing. یعنی من یک هدر ست کنم و خودمو جای چیزی بزنم که نیستم.مثلا یوزر ایجنت ست کنم. به این کار میگن اسپوف کردن.

دسته اول
Forbidden header name
داخل مرورگر
https://developer.mozilla.org/en-US/docs/Glossary/Forbidden_header_name
اینا رو میشه از کلاینت فیک کرد؟‌اره میشه. اینا تا زمانی قابل اعتمادن که شما فرض میگیری کلاینتت همیشه مرورگره. بیشتر از این نباید به این هدرا اعتماد کنی. اینا به راحتی قابل اسپوفن.

دسته دوم
یک سری هدر وجود داره که توسط لود بالانسرست میشه. به شرطی میتونی اعتماد کنی به این هدر ها که ۱۰۰درصد میدونی راه ارتباطی به جز لود بالانسر با اپلیکیشنت نیست.
X-Forwarded-For
مثل این

دسته سوم:
دیتا هایی که تو IP packet هست و بازم قابل دسترسیه. تو سطح شبکه هستن اینا. مثلا من میگم ای پی ادرس من ۱.۱.۱.۱ هست. میشه اسپوفش کنم؟‌اره میشه. ولی اگه بکنم اونوقت tcp یک طرفه میشه. چرا؟‌چون من درخواست میزنم google.com رو ببینم اونوقت google سعی میکنه دیتاشو بفرسته برای ۱.۱.۱.۱. و چون جوابی نمیده بهش سریع بسته میشه کانکشنش. که البته این خیلی ساده بود تو سناریو واقعی واقعا نمیتونید همچین کاری کنید

اما در اخر جواب دوستمون, شما قطعا نمیتونید کاری کنید که هیچ کلاینتی به جز فرانت به شما دیتا نفرسته. درسته cors و ... وجود داره ولی همه اونا برای مرورگره. در نهایت من میتونم بدون اینکه از فرانتتون استفاده کنم درخواست بفرستم.
چطوری جلوشو میگیرن؟ میان تشخیص میدن کلاینت هایی که از مرورگر نیستن و تو مرورگر هم از cors استفاده میکنن. راه های تشخیصش چیه؟
۱. کپچا (آسون و یکم قابل اعتماد)
۲. دیتکت user agent (آسون و غیر قابل اعتماد)
۳. فینگرپرینت مرورگر (پیچیده و خیلی قابل اعتماد)
راه سوم توسط شرکت های enterprise انتخاب میشه.
@ManiFoldsPython

راجب fingerprint

اینطوری کار میکنه که یک سری جاوا اسکریپت رو مرورگر شما ران میشه
و از api های مختلف مرورگرتون استفاده میکنه
و اطلاعات سیستمتون رو بیرون میکشه
و حتی شامل gpu هم میشه مثل canvas و webgl

اگه خوب پیاده سازی شده باشه تقریبا قابل اسپوف نیست, میتویند تست کنید خودتون. یعنی اسپوف کنید سرور میفهمه دروغ گفتین.

نمونش اینجاست.
https://abrahamjuliot.github.io/creepjs/

سایتا خیلی به Fingerprint id اعتماد نمیکنن چون خیلی راحت تغییر میکنه (مثلا اگه یک فونت اضافه کنید به سیستم عاملتون تغییر میکنه). معمولا به ترکیبی از FP ID و webgl و canvas اعتماد میکنن که gpu هم دخیل باشه! خیلی از صفحات امنیتی نت رو همین مکانیزم کار میکنند.

پی نوشت: اینارو تو اون کتاب نگفته ها 😂 اینا یافته های خودم بوده. مدت زیادی رو این چیزا کار میکردم چون قبلا خیلی زیاد کراول میکردم.

@ManiFoldsPython

لینک کتاب HTTP The definitive guide که دیروز سایه تو گروه گذاشت

https://news.1rj.ru/str/HangBooks/13

@ManiFoldsPython

لایو بابی امشبه، منم هاستم.
تو خوده لایو هم میتونید سوال‌بپرسید، لایو هم ریکورد میشه.

سوالی داشتین کامنت کنید اگه نمیرسیدین 👇

چند تا ریسورس برای یادگیری و عمیق تر شدن تو مفاهیم دیتابیس:

۱. این همون میمی بود که فرستادم. از این مقاله و گیت هاب پیداش کرده بودم. خیلی خوبه که ادم خودشو بسنجه ببینه چقدر sql بلده تو تو کدوم level هست.
https://github.com/airbytehq/SQL-Levels-Explained
https://avestura.dev/blog/explaining-the-postgres-meme

اینو قبلا معرفی کردم.
https://git.ir/p/xnEZB

اونایی که دارم میخونم(WIP):
https://www.pluralsight.com/cloud-guru/courses/postgresql-administration-deep-dive

Designing Data-Intensive Applications: The Big Ideas Behind Reliable, Scalable, and Maintainable Systems
(اینم دارم میخونم بحث high availability خیلی مهمه و واقعا خوب بهش پرداخته)

و اونی که دوست دارم ببینم در اینده:
https://www.udemy.com/course/database-engines-crash-course/

@ManiFoldsPython

اینم یک کانال دانلود کتاب که کامنت کرده بودن:
https://news.1rj.ru/str/Techbookology

سه قسمت مورد علاقم تو مصاحبه با بابی👌:

+ بابی به کی میگی مهندس نرم افزار؟
- به کسی که بتونه خودش سولوشن هارو با trade offشون پیدا کنه، یعنی حل کننده و کارگشا مشکلات یک نرم افزار باشه.

+ بابی تو مصاحبه قبلی رشاد گفته بود به من که شخصا هرچیزیو هرقدری یاد میگیرم که یک بهش نیاز داشته باشم و دو بتونم اون کاربردی که برام داره رو درک کنم، نظرت راجب این چیه؟
- اره موافقم با این دیدگاه، بنظره من ما خیلی چیزا رو تو کار یاد میگیریم، و تو وقتی که وارد دنیای کار نشیم یاد نمیگیریم اون مباحثو، ولی وقتی تو کار به مشکل میخوریم و باهاش کلنجار میریم خیلی بهتر یادش میگیریم. به توییت جادیم اشاره کرد که من یادم نیست الان😅

- چرا میگین فلان اسکیل رو یاد بگیرم بعد رزومه میفرستم، یا اینقدر جلو برم بعد میرم دنبال کار. وقتی اینکارو میکنید خودتون دارین خودتونو ریجکت میکنید. بذارین اونا ریجکتتون کنند😁

———
سوال دوم خودم میدونستم، ولی یادم رفته بود این مدت. شاید این چند ماه knowledge ای که یاد میگرفتم نمیبردم تو محیط کار ازش استفاده کنم با وجود اینکه شرایطشو داشتم. خلاصه کسایی که تجربه کار ندارین بدونید دنیای واقعی مثل کتبی که میخونید نیست و تا زمانی که پروژه رو لوکال هاستتونه همه چیز گل و بلبله 😂

@ManiFoldsPython