Крик души

[Dmitry67]

Заказал тут проектикиу фрилансера на Хабр фриланс
Я сам чисто бэкэнд и с вебом у меня плохо поэтому решил писать не сам

Запускаю и вижу

image.png

Рукалицо

[mitnlag]

бгг что заплатили то и получили небось?

[Dmitry67]

бгг что заплатили то и получили небось?

Похоже джуниоры школота (((

[mitnlag]

слушайте, кто-то должен платить за их образование

[dama123]

Просто сделайте https и усе будет ок
https://stackoverflow.com/questions/262 ... s-http-ssl

[Dmitry67]

Просто сделайте https и усе будет ок
https://stackoverflow.com/questions/262 ... s-http-ssl

Нет, не будет.
Вы понимаете почему?

[ie]

Просто сделайте https и усе будет ок
https://stackoverflow.com/questions/262 ... s-http-ssl

Нет, не будет.
Вы понимаете почему?

ну... зашифруйте всю query string... в чем проблема то?
пароль все равно придется передавать. ну или там токен какой.
я что-то не понимаю?

[Dmitry67]

Делаю я презентацию, а все мой пароль видят...

[ie]

Делаю я презентацию, а все мой пароль видят...

если вы делаете презентацию для програмистов, они все равно ваш пароль увидят,
куда бы вы его не засунули.

если это повер поинт презентация для топ манагеров...
то.... тут вопще не понятно зачем им паказывать всякие URL с паролями..

[iDesperado]

если вы делаете презентацию для програмистов, они все равно ваш пароль увидят,
куда бы вы его не засунули.

как они увидят без доступа в базу и к исходникам ? понятно что программеры ушли на первых минутах презентации увидев пароль в урле.
мне тоже не понятно категория людей, которая бы сохранила интерес к проекте после такого. если не справились с логин/пароль, то что же там дальше твориться лично я бы не стал выяснять.

[ie]

если вы делаете презентацию для програмистов, они все равно ваш пароль увидят,
куда бы вы его не засунули.

как они увидят без доступа в базу и к исходникам ? понятно что программеры ушли на первых минутах презентации увидев пароль в урле.
мне тоже не понятно категория людей, которая бы сохранила интерес к проекте после такого. если не справились с логин/пароль, то что же там дальше твориться лично я бы не стал выяснять.

вопщето дима нислова не сказал про базу данных.
а его URL говорит про web api:

localhost:8080/api

если речь идет а пароле к api то его прдется как-то передавать.
зашифровать URL params занимает 3 минуты.

в чем проблема?

[iDesperado]

вопщето дима нислова не сказал про базу данных.
а его URL говорит про web api:

localhost:8080/api

если речь идет а пароле к api то его прдется как-то передавать.
зашифровать URL params занимает 3 минуты.

в чем проблема?

то что никакое шифрование не дает 100% гарантии и это просто глупо. зачем светить даже шифрованный пароль ?
я бы не стал выяснять что сподвигло людей заниматься глупостями с шифрованием урла и прошел бы мимо.

[ie]

то что никакое шифрование не дает 100% гарантии и это просто глупо. зачем светить даже шифрованный пароль ?
я бы не стал выяснять что сподвигло людей заниматься глупостями с шифрованием урла и прошел бы мимо.

а как вы будете защищать api не передовая логин инфо?
научите... правда интересно.

[Dmitry67]

Там ещё есть шедевр. В params2 передаются группы, в которые вхож юзер. Исправив url, пользователь может получить любые права.

Шифровать то можно, но разве передача такой информации в url не дикий антипаттерн? Да, если чел пришел на интервью с расстегнутой ширинкой и воняя потом то он как бы ничего юридически не нарушил. Но ..

[iDesperado]

а как вы будете защищать api не передовая логин инфо?
научите... правда интересно.

речь про урл, а не передачу. обычный пост по защищенному https дает достаточно гарантий.

[ie]

Шифровать то можно, но разве передача такой информации в url не дикий антипаттерн?

ну хорошо. а как правильно передавать?
научите. зарыть гденить в хэдер, так типа будет секюр и злые русские хакеры никагда не дагадеются туда посмотерть?

[ie]

а как вы будете защищать api не передовая логин инфо?
научите... правда интересно.

речь про урл, а не передачу. обычный пост по защищенному https дает достаточно гарантий.

так как передовать то? куда складывют пароли нармальные пасаны респектфул девелоперы?

[Dmitry67]

Шифровать то можно, но разве передача такой информации в url не дикий антипаттерн?

ну хорошо. а как правильно передавать?
научите. зарыть гденить в хэдер, так типа будет секюр и злые русские хакеры никагда не дагадеются туда посмотерть?

Дело не в какерах
Поделка вообще для глубокого интранет
Но если бы я это не заметил и мои коллеги увидели бы мой пароль на экране во время презентации, то я стал бы посмешищем

[iDesperado]

так как передовать то? куда складывют пароли нармальные пасаны респектфул девелоперы?

обычный http post. ну и пост мне кажется обычно идет на веб сервер, который уже делает рест вызов на соответствующий вебсервис, а не как тут api торчит наружу.

[ie]

Дело не в какерах
Поделка вообще для глубокого интранет

вот видите какие детали всплывают.

Но если бы я это не заметил и мои коллеги увидели бы мой пароль на экране во время презентации, то я стал бы посмешищем

ну понятно.. тут эмошнл аспект очень сильный...

[ie]

так как передовать то? куда складывют пароли нармальные пасаны респектфул девелоперы?

обычный http post. ну и пост мне кажется обычно идет на веб сервер, который уже делает рест вызов на соответствующий вебсервис, а не как тут api торчит наружу.

http пост с паролем или без?
и что вам мешает сделать http post на localhost:8080/api ?
url не нравиться?

[iDesperado]

http пост с паролем или без?
и что вам мешает сделать http post на localhost:8080/api ?
url не нравиться?

с паролем.
ничего не мешает.
не нравится.
к чему этот тупой тролинг ?

[Palych]

Думаю главные монстры будут внутри кода. Креативность там наверняка затмит самые смелые предложения.

[Dmitry67]

Думаю главные монстры будут внутри кода. Креативность там наверняка затмит самые смелые предложения.

Я уже смотрел
Таки да (((
Количество багов пропорционально числу найденных
А количество идиотизма пропорционально сразу увиденному

[Flash-04]

Хм, ну не делают так, даже с https.
Credentials передают в POST.
Почему? Очень просто: сейчас, любая уважающая себя организация держит логи. При таком подходе в них будут все пароли пользователей, а это недопустимо.
В моей практике был случай, когда в логах было даже содержимое POST запросов. После указания на этот факт, их перестали записывать.