01
Модуль 1: Как сервер принимает решение о доступе
Object, reference, principal, action и границы Broken Access Control
- 11. Как сервер принимает решение о доступе~5 мин
- 22. Тест: Модель авторизации~3 мин
Путь python Intermediate 6 модулей 22 шага (12 теор · 4 лаб · 6 квиз) ~3 ч 48 мин
Python Broken Access Control: IDOR, роли и свойства во Flask
Практический маршрут о серверной авторизации во Flask: доступ к объектам, привилегированным действиям и изменяемым свойствам. Четыре лабы учат выводить политику из principal, action, object и context, а не доверять форме идентификатора или интерфейсу.
02
Модуль 2: Чужой объект с обычным числовым ID
Горизонтальный IDOR, item и collection boundaries, atomic owner lookup
- 11. Ссылка на объект не является разрешением~5 мин
- 2. Практика: найдите горизонтальный IDOReasy ~30 мин2. Практика: найдите горизонтальный IDOR
- 33. Разбор: scoped lookup для горизонтального доступа~5 мин
- 44. Тест: Границы владельца и коллекции~3 мин
03
Модуль 3: Непрозрачные и подписанные ссылки
UUID, signed references и неизменная необходимость authorization
- 11. Opacity снижает перебор, но не даёт право~5 мин
- 2. Практика: переберите предсказуемые ID заказовmedium ~45 мин2. Практика: переберите предсказуемые ID заказов
- 33. Разбор: UUID, owner scope и подписанная ссылка~5 мин
- 44. Тест: UUID, подпись и authorization~3 мин
04
Модуль 4: Привилегированные функции и роли
Vertical access, read/write actions, RBAC и доверие к claims
- 11. Право на функцию проверяет сервер~5 мин
- 2. Практика: проверьте привилегированные функцииeasy ~30 мин2. Практика: проверьте привилегированные функции
- 33. Разбор: все privileged actions требуют policy~5 мин
- 44. Session, signed claims и отзыв прав~5 мин
- 55. Тест: function-level authorization~3 мин
05
Модуль 5: Авторизация изменяемых свойств
Mass Assignment, action-specific input и server-owned fields
- 11. JSON не определяет разрешённые поля~5 мин
- 2. Практика: найдите опасное массовое присваиваниеmedium ~45 мин2. Практика: найдите опасное массовое присваивание
- 33. Разбор: action-specific writable fields~5 мин
- 44. Тест: property-level authorization~3 мин
06
Модуль 6: Перенос и регрессионная проверка
Новый multi-tenant case, HTTP verification matrix и local-first automation
- 11. Capstone: batch export, transfer и share link~5 мин
- 22. Fail-closed authorization matrix~5 мин
- 33. Тест: Итоговая проверка переноса~3 мин