Koji su osnovni sigurni kodovi za pisanje koda?

Question

Accepted Answer

**Siguran kod** znači pisanje koda koji se opire napadima i štiti podatke — slijedi prakse koje sprječavaju česte ranjivosti. Razumijevanje osnova pomaže programerima da ugrade sigurnost od početka umjesto da je dodaju kasnije.

## Osnovne prakse sigurnog kodiranja

```text
✓ VALIDATE all input (never trust user/external input); allowlist where possible
✓ Use PARAMETERIZED queries (prevent SQL injection); ESCAPE output (prevent XSS)
✓ AUTHENTICATE and AUTHORIZE properly (verify identity; check permissions server-side)
✓ HANDLE SENSITIVE DATA carefully — hash passwords, encrypt sensitive data, use HTTPS
✓ Don't HARDCODE SECRETS (keys, passwords) in code → use env vars / secrets managers
✓ Use SECURE DEFAULTS; fail securely (errors shouldn't expose data or grant access)
```

## Izbjegavanje čestih grešaka

```text
✗ Trusting user input / client-side checks (validate on the SERVER)
✗ Exposing sensitive info in errors/logs (stack traces, secrets, PII)
✗ Using outdated/vulnerable DEPENDENCIES (keep them updated; scan them)
✗ Rolling your own CRYPTO (use vetted libraries/standards, not custom algorithms)
✗ Overly broad permissions (apply LEAST PRIVILEGE)
```

## Principi sigurnosti

```text
✓ LEAST PRIVILEGE → grant only the minimum access needed (limit damage)
✓ DEFENSE IN DEPTH → multiple layers (no single point of failure)
✓ FAIL SECURELY → on error, default to denying access / safe state
✓ KEEP IT SIMPLE → complex code hides bugs/vulnerabilities
✓ SECURITY BY DESIGN → build it in from the start (shift left), not as an afterthought
```

## Zašto je to važno

Razumijevanje osnovnih praksi sigurnog kodiranja je temeljno jer **programeri pišu kod koji je siguran ili ranjiv**, pa je primjena sigurnih praksi bitna za izgradnju sigurnog softvera, što čini ovo važno znanje o sigurnosti.

Siguran kod — pisanje koda koji se opire napadima i štiti podatke — je sve više temeljnog programerskog odgovornosti, a razumijevanje osnova omogućuje ugrađivanje sigurnosti od početka.

**Osnovne prakse** — validacija ulaza (nikada ne vjerovati vanjskom ulazu), korištenje parametriziranih upita (sprječavanje SQL injektiranja) i escaping izlaza (sprječavanje XSS), ispravna autentifikacija i autorizacija (na strani servera), pažljivo rukovanje osjetljivim podacima (hashiranje lozinki, enkripcija, HTTPS), **ne hard-kodiranje tajni** (korištenje varijabli okruženja ili upravljača tajni — česta greška), i korištenje sigurnih zadanih postavki koje sigurno padaju — izravno sprječavaju najčešće ranjivosti.

Razumijevanje **čestih grešaka koje treba izbjegavati** — vjerovanju provjere na strani klijenta, izlaganju osjetljivih informacija u greškama i logovima, korištenju zastarjelih/ranjivих ovisnosti, **pisanju vlastite kriptografije** (poznata greška — korištenje provjerenih biblioteka umjesto toga), i preširoke dozvole — pomaže programerima da izbjegnu česte sigurnosne greške.

Razumijevanje **principima sigurnosti** — **najmanja privilegija** (pristup potreban samo za obavljanje zadatka, ograničavanje štete), **obrana u dubinu** (više slojeva, nema jedne točke neuspjeha), **sigurno padanje** (defaultiranje odbijanju pristupa pri grešci), održavanje jednostavnosti (složenost skriva ranjivosti), i **sigurnost po dizajnu** (ugrađivanje od početka) — osigurava mentalitet i okvir koji leži u osnovi sveg sigurnog kodiranja.

Ti principi i prakse odražavaju način rada programera koji su svjesni sigurnosti.

Budući da programeri pišu kod koji određuje je li softver siguran, a budući da primjena osnovnih praksi sigurnog kodiranja (validacija ulaza, parametrizirani upiti, ispravna autentifikacija, upravljanje tajnama) i principia (najmanja privilegija, obrana u dubinu, sigurnost po dizajnu) sprječava česte ranjivosti, te budući da je razumijevanje toga bitno za izgradnju sigurnog softvera, razumijevanje osnovnih praksi sigurnog kodiranja je temeljno, bitno znanje o sigurnosti — prakse i principi koji omogućuju programerima ugrađivanje sigurnosti u njihov kod, sve više očekivani od svih programera, i ključni za proizvodnju softvera koji štiti svoje korisnike i podatke.