Выбор ответа Junior Авторизация: IDOR, RBAC, ABAC обновлено
Запрет по умолчанию
Вопрос
Что означает принцип «запрет по умолчанию» в авторизации?
Попробуйте сами
Выберите вариант, и откроется разбор.
Показать ответ и разбор
Коротко
Правильный ответ: Нет разрешающего правила для запроса, значит, доступ закрыт. Deny by default гарантирует, что забытый эндпоинт или новая роль не откроют доступ случайно.
Варианты ответа
- Нет разрешающего правила для запроса, значит, доступ закрытправильный ответ
- Новым пользователям запрещено всё, пока админ не выдаст им роль
- По умолчанию запрещены изменяющие запросы, а GET разрешены всем
- Доступ разрешён, пока не найдено явное запрещающее правило
Разбор
Deny by default гарантирует, что забытый эндпоинт или новая роль не откроют доступ случайно. Вариант про изменяющие запросы оставляет открытым чтение. Последний вариант описывает противоположный подход (allow by default), который и приводит к утечкам.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.