วันนี้จะได้เรียนรู้อะไร
Access control คืออะไร
Access control หรือการควบคุมสิทธิ์ คือกฎที่เซิร์ฟเวอร์ใช้ตรวจว่า คนที่ล็อกอินอยู่มีสิทธิ์ทำสิ่งนี้กับข้อมูลนี้หรือไม่ เช่น น้องเอดูเกรดของตัวเองได้ แต่ไม่ควรดูเกรดของน้องบี
ถ้าเซิร์ฟเวอร์เชื่อเลข id ใน URL โดยไม่ตรวจเจ้าของข้อมูล
ช่องโหว่นี้เรียกว่า IDOR และเป็น Broken Access Control รูปแบบหนึ่ง
- ลองเปลี่ยนเลขท้าย URL บนเว็บสาธิต
- เปิดระบบนักเรียนบนเครื่องตัวเองด้วย
npm start - ทดลองอีกครั้ง แล้วแก้ไฟล์
access-control.js - รีสตาร์ทเซิร์ฟเวอร์ แล้วตรวจว่าเว็บแสดงหน้า 403