المحاور الأساسية وخطوات التحصين
🔒 ثغرة تثبيت الجلسة (Session Fixation)
عدم تجديد معرف الجلسة بعد نجاح تسجيل الدخول، مما يسمح للمهاجم باستخدام معرف جلسة محدد مسبقاً لاختراق الحساب.
🔒 عشوائية وتشفير معرفات الجلسات (Session Entropy)
ضرورة استخدام مولدات أرقام عشوائية قوية تشفيرياً (CSPRNG) لمنع التنبؤ بمعرفات الجلسات.
🔒 سياسات انتهاء الصلاحية والتسجيل الآمن
فرض انتهاء مهلة عدم النشاط (Inactivity Timeout) وتدمير الجلسة بالكامل من جهة الخادم عند تسجيل الخروج.
💡 نصيحة وأداة المهندس الأمني: قم دائماً بإعادة توليد معرف الجلسة (Regenerate Session ID) فور تحقق عملية المصادقة الناجحة للمستخدم.
⚠️ معايير الأمان والتحذيرات الهندسية:
لا تعتمد أبداً على قيود الواجهة الأمامية (Client-Side) كخط دفاع أمني؛ يجب دائماً التحقق من صحة وتطهير كافة البيانات والتفويض في خادم الويب (Server-Side).
📌 أفضل الممارسات والتوصيات الهندسية:
- تطبيق مبدأ الصلاحيات الأقل (Principle of Least Privilege) على كافة مستويات التطبيق وقواعد البيانات.
- ترميز المخرجات المعتمد على السياق واستخدام الاستعلامات المعلمة (Parameterized Queries) لمنع كافة أنواع الحقن.
- دمج الفحص الأمني التلقائي (SAST & DAST) في خطوط الـ CI/CD لاكتشاف ومعالجة الثغرات مبكراً.