Spread Operat\u00f6rleri ve Savunmac\u0131 Programlama: API \u0130steklerinin G\u00fcvenli\u011fi<\/p>\n
API isteklerinde yayg\u0131n olarak kullan\u0131lan spread operat\u00f6rleri, kod yaz\u0131m\u0131n\u0131 kolayla\u015ft\u0131r\u0131rken, g\u00fcvenlik a\u00e7\u0131klar\u0131na da kap\u0131 aralayabilir. Bu makalede, spread operat\u00f6rlerinin kullan\u0131m\u0131nda gizli tehlikeleri, savunmac\u0131 programlama tekniklerini ve g\u00fcvenli uygulamalar\u0131 ad\u0131m ad\u0131m ele alaca\u011f\u0131z. Request payload'lerindeki beklenmedik veriler nedeniyle ortaya \u00e7\u0131kabilecek sorunlar\u0131 ve bu sorunlar\u0131 nas\u0131l \u00f6nleyebilece\u011finizi \u00f6\u011freneceksiniz. Daha g\u00fcvenli ve sa\u011flam uygulamalar geli\u015ftirmenize yard\u0131mc\u0131 olacak pratik ipu\u00e7lar\u0131 ve \u00f6rnekler bulacaks\u0131n\u0131z.<\/p>\n
Spread operat\u00f6r\u00fc (…), bir dizi veya nesneyi ayr\u0131\u015ft\u0131rarak, elemanlar\u0131n\u0131 ba\u015fka bir dizi veya nesneye eklemeyi sa\u011flayan, modern JavaScript'in g\u00fc\u00e7l\u00fc bir \u00f6zelli\u011fidir. \u00d6rne\u011fin, iki diziyi birle\u015ftirmek i\u00e7in klasik y\u00f6ntemlerden farkl\u0131 olarak, spread operat\u00f6r\u00fc kullan\u0131larak daha okunakl\u0131 ve \u00f6z bir kod yazmak m\u00fcmk\u00fcnd\u00fcr. Ancak, \u00f6zellikle API isteklerindeki payload'lar\u0131n olu\u015fturulmas\u0131nda dikkatli kullan\u0131lmas\u0131 gerekir. \u00c7\u00fcnk\u00fc beklenmedik verilerin sisteme dahil edilmesine neden olabilir.<\/p>\n
\u00d6rnek olarak, a\u015fa\u011f\u0131daki kodda iki diziyi spread operat\u00f6r\u00fc ile birle\u015ftiriyoruz:<\/p>\n
<\/code><\/p>\n
javascript\nconst dizi1 = [1, 2, 3];\nconst dizi2 = [4, 5, 6];\nconst birlesikDizi = [...dizi1, ...dizi2]; \/\/ [1, 2, 3, 4, 5, 6]\nconsole.log(birlesikDizi);<\/pre>\n<\/code><\/p>\n
Benzer \u015fekilde, nesneleri birle\u015ftirmek i\u00e7in de kullan\u0131labilir:<\/p>\n
<\/code><\/p>\n
javascript\nconst nesne1 = {a: 1, b: 2};\nconst nesne2 = {c: 3, d: 4};\nconst birlesikNesne = {...nesne1, ...nesne2}; \/\/ {a: 1, b: 2, c: 3, d: 4}\nconsole.log(birlesikNesne);<\/pre>\n<\/code><\/p>\n
Ancak, bu kolayl\u0131k, dikkatsiz kullan\u0131ld\u0131\u011f\u0131nda g\u00fcvenlik sorunlar\u0131na yol a\u00e7abilir. \u00d6zellikle, kullan\u0131c\u0131dan gelen verilerin do\u011frudan spread operat\u00f6r\u00fc ile payload'a eklenmesi tehlikeli olabilir.<\/p>\n
API \u0130stek Payloads'lar\u0131nda Spread Operat\u00f6r\u00fcn\u00fcn Riskleri Nelerdir?<\/h2>\n
Kullan\u0131c\u0131 girdilerini do\u011frudan spread operat\u00f6r\u00fc ile API istek payload'lar\u0131na eklemek, k\u00f6t\u00fc ama\u00e7l\u0131 kodlar\u0131n veya beklenmedik verilerin sisteme girmesine neden olabilir. Bu durum, g\u00fcvenlik a\u00e7\u0131klar\u0131na, veri bozulmas\u0131na ve uygulama \u00e7\u00f6kmelerine yol a\u00e7abilir. \u00d6rne\u011fin, kullan\u0131c\u0131dan gelen bir nesneyi do\u011frudan spread operat\u00f6r\u00fc ile payload'a eklemek, beklenmedik \u00f6zellikler i\u00e7eren bir nesnenin sisteme dahil olmas\u0131na sebep olabilir. Bu \u00f6zelliklerin baz\u0131lar\u0131, uygulaman\u0131n beklenmedik bir \u015fekilde davranmas\u0131na ya da g\u00fcvenlik a\u00e7\u0131klar\u0131na yol a\u00e7abilir.<\/p>\n
\u00d6rne\u011fin, bir kullan\u0131c\u0131 ad\u0131 alan\u0131n\u0131 spread operat\u00f6r\u00fcyle birle\u015ftirmek i\u00e7in, a\u015fa\u011f\u0131daki gibi bir kod kullan\u0131l\u0131yor olabilir:<\/p>\n
<\/code><\/p>\n
javascript\nconst kullan\u0131c\u0131Girdileri = {ad: \"Ahmet\", soyad: \"Mehmet\", rol: \"admin\"};\nconst requestPayload = { ...kullan\u0131c\u0131Girdileri, ...di\u011ferVeriler };<\/pre>\n<\/code><\/p>\n
E\u011fer kullan\u0131c\u0131 kullan\u0131c\u0131Girdileri<\/code> nesnesine k\u00f6t\u00fc ama\u00e7l\u0131 kod eklerse, bu kod do\u011frudan requestPayload<\/code>'a eklenir ve sistemde \u00e7al\u0131\u015ft\u0131r\u0131labilir. Bu, XSS (Cross-Site Scripting) gibi ciddi g\u00fcvenlik a\u00e7\u0131klar\u0131na neden olabilir.<\/p>\nSavunmac\u0131 Programlama Teknikleri: Nas\u0131l G\u00fcvenli\u011fi Sa\u011flayabiliriz?<\/h2>\n
Spread operat\u00f6r\u00fcn\u00fc g\u00fcvenli bir \u015fekilde kullanmak i\u00e7in, savunmac\u0131 programlama tekniklerini uygulamak \u015fartt\u0131r. Bu teknikler, olas\u0131 hatalar\u0131 ve g\u00fcvenlik a\u00e7\u0131klar\u0131n\u0131 \u00f6nceden tespit ederek, uygulaman\u0131n g\u00fcvenilirli\u011fini ve istikrar\u0131n\u0131 art\u0131r\u0131r. Kullan\u0131c\u0131 girdilerinin do\u011frudan payload'a eklenmesi yerine, girdilerin do\u011frulama ve temizleme i\u015flemlerinden ge\u00e7irilmesi, g\u00fcvenlik a\u00e7\u0131s\u0131ndan son derece \u00f6nemlidir.<\/p>\n
\u0130\u015fte baz\u0131 \u00f6nemli savunmac\u0131 programlama teknikleri:<\/p>\n
\n- Giri\u015f Do\u011frulama:<\/b> Kullan\u0131c\u0131 girdilerinin t\u00fcr\u00fcn\u00fc, uzunlu\u011funu ve format\u0131n\u0131 do\u011frulay\u0131n. Beklenmeyen karakterleri veya de\u011ferleri engellemek i\u00e7in d\u00fczenli ifadeler (regex) kullanabilirsiniz.<\/li>\n
- Veri Temizleme:<\/b> Kullan\u0131c\u0131 girdilerini \u00f6zel karakterlerden, HTML etiketlerinden ve zararl\u0131 kodlardan temizleyin. Bu i\u015flem, XSS sald\u0131r\u0131lar\u0131n\u0131 \u00f6nlemeye yard\u0131mc\u0131 olur.<\/li>\n
- Beyaz Listeleme:<\/b> Sadece beklenen alanlar\u0131 payload'a ekleyin. Kullan\u0131c\u0131dan gelen beklenmedik alanlar\u0131 yok say\u0131n veya hata mesaj\u0131 verin. Bu sayede, bilinmeyen verilerin sisteme girmesi engellenir.<\/li>\n
- Parametre Do\u011frulama:<\/b> API isteklerindeki parametrelerin t\u00fcr\u00fcn\u00fc, uzunlu\u011funu ve aral\u0131klar\u0131n\u0131 do\u011frulay\u0131n. Ge\u00e7ersiz parametreler i\u00e7in hata mesaj\u0131 verin veya istekleri reddedin.<\/li>\n
- Girdi Dezenfeksiyonu:<\/b> Verileri veritaban\u0131na kaydetmeden \u00f6nce veya API\u2019lere g\u00f6ndermeden \u00f6nce kod enjeksiyonu ve di\u011fer zararl\u0131 sald\u0131r\u0131lara kar\u015f\u0131 koruma sa\u011flamak i\u00e7in verileri temizleyin ve dezenfekte edin.<\/li>\n<\/ul>\n
\u00d6rnek: G\u00fcvenli Payload Olu\u015fturma<\/h2>\n
\u015eimdi, g\u00fcvenli bir \u015fekilde payload olu\u015fturmak i\u00e7in bir \u00f6rnek inceleyelim. A\u015fa\u011f\u0131daki kod, kullan\u0131c\u0131 girdilerini do\u011frulay\u0131p temizleyerek, g\u00fcvenli bir payload olu\u015fturur:<\/p>\n
<\/code>javascript
\nfunction g\u00fcvenliPayloadOlustur(kullan\u0131c\u0131Verileri) {
\n const izinVerilenAlanlar = [“ad”, “soyad”, “email”];
\n const temizlenmisVeriler = {};<\/p>\n
for (const alan of izinVerilenAlanlar) {
\n if (kullan\u0131c\u0131Verileri.hasOwnProperty(alan)) {
\n temizlenmisVeriler[alan] = kullan\u0131c\u0131Verileri[alan].trim().replace(\/<\\\/?[^>]+(>|$)\/g, “”); \/\/ HTML etiketlerini temizleme
\n }
\n }<\/p>\n
return temizlenmisVeriler;
\n}<\/p>\n
const kullan\u0131c\u0131Girdileri = { ad: “