Multi-Factor Authentication (MFA) dodaje:

Dodatkowe warstwy weryfikacji tożsamości

Kurs Next.js · Moduł 7: Uwierzytelnianie i autoryzacja

Bezpieczeństwo aplikacji i OWASP

19 min czytania

Udostępnij

W tej lekcji5

W poprzednich modułach skupialiśmy się na implementacji uwierzytelniania, zarządzaniu sesjami, systemie ról i uprawnień, middleware ochrony tras oraz Context Providerze dla autentykacji. Teraz przeniesiemy naszą uwagę na szerszy obszar bezpieczeństwa aplikacji internetowych, ze szczególnym uwzględnieniem wytycznych OWASP (Open Web Application Security Project).

OWASP to organizacja non-profit, która pracuje nad poprawą bezpieczeństwa oprogramowania. Regularnie publikuje listę Top 10 najpoważniejszych zagrożeń bezpieczeństwa dla aplikacji internetowych, która stanowi podstawowy punkt odniesienia dla developerów dążących do tworzenia bezpiecznych aplikacji.

OWASP Top 10 i ich zastosowanie w aplikacjach Next.js

Przyjrzymy się, jak zabezpieczyć aplikacje Next.js przed najpoważniejszymi zagrożeniami z listy OWASP Top 10:

1. Broken Access Control (Uszkodzona kontrola dostępu)

Zagrożenie: Nieprawidłowa implementacja kontroli dostępu, pozwalająca nieautoryzowanym użytkownikom na dostęp do chronionych zasobów lub wykonywanie niedozwolonych operacji.

Zabezpieczenia w Next.js:

1// 1. Middleware do ochrony tras
2// middleware.ts
3import { NextResponse } from 'next/server';
4import type { NextRequest } from 'next/server';
5import { getToken } from 'next-auth/jwt';
6
7export async function middleware(request: NextRequest) {
8  const token = await getToken({ req: request });
9
10  // Sprawdź uprawnienia użytkownika
11  if (!token) {
12    return NextResponse.redirect(new URL('/auth/login', request.url));
13  }
14
15  // Kontrola dostępu oparta na rolach
16  if (request.nextUrl.pathname.startsWith('/admin') && token.role !== 'admin') {
17    return NextResponse.redirect(new URL('/unauthorized', request.url));
18  }
19
20  return NextResponse.next();
21}
22
23// 2. Weryfikacja uprawnień w Route Handlers
24// app/api/protected/resource/route.ts
25import { NextResponse } from 'next/server';
26import { getServerSession } from 'next-auth/next';
27import { authOptions } from '@/app/api/auth/[...nextauth]/route';
28
29export async function GET() {
30  const session = await getServerSession(authOptions);
31
32  if (!session) {
33    return NextResponse.json({ error: 'Unauthorized' }, { status: 401 });
34  }
35
36  // Sprawdzanie uprawnień dla konkretnego zasobu
37  const hasPermission = await checkResourcePermission(session.user.id, 'resource-id');
38
39  if (!hasPermission) {
40    return NextResponse.json({ error: 'Forbidden' }, { status: 403 });
41  }
42
43  // Kontynuuj z dostępem do zasobu...
44}
45
46// Funkcja sprawdzająca uprawnienia do zasobu
47async function checkResourcePermission(userId: string, resourceId: string) {
48  // Implementacja sprawdzania uprawnień, np. poprzez zapytanie do bazy danych
49  // Warto zaimplementować mechanizm cache'owania dla często sprawdzanych uprawnień
50  return true; // Przykładowa implementacja
51}