Mik az alapvető biztonságos kódolási gyakorlatok?

Question

Accepted Answer

**Biztonságos kódolás** azt jelenti, hogy olyan kódot írunk, amely ellenáll az támadásoknak és védi az adatokat — olyan gyakorlatokat követve, amelyek megelőzik a gyakori sebezhetőségeket. Az alapok megértése segít a fejlesztőknek, hogy az elektől beépítsék a biztonságot, ahelyett, hogy később hozzáadnák.

## Alapvető biztonságos kódolási gyakorlatok

```text
✓ VALIDATE all input (never trust user/external input); allowlist where possible
✓ Use PARAMETERIZED queries (prevent SQL injection); ESCAPE output (prevent XSS)
✓ AUTHENTICATE and AUTHORIZE properly (verify identity; check permissions server-side)
✓ HANDLE SENSITIVE DATA carefully — hash passwords, encrypt sensitive data, use HTTPS
✓ Don't HARDCODE SECRETS (keys, passwords) in code → use env vars / secrets managers
✓ Use SECURE DEFAULTS; fail securely (errors shouldn't expose data or grant access)
```

## Kerülje a gyakori hibákat

```text
✗ Trusting user input / client-side checks (validate on the SERVER)
✗ Exposing sensitive info in errors/logs (stack traces, secrets, PII)
✗ Using outdated/vulnerable DEPENDENCIES (keep them updated; scan them)
✗ Rolling your own CRYPTO (use vetted libraries/standards, not custom algorithms)
✗ Overly broad permissions (apply LEAST PRIVILEGE)
```

## Biztonsági alapelvek

```text
✓ LEAST PRIVILEGE → grant only the minimum access needed (limit damage)
✓ DEFENSE IN DEPTH → multiple layers (no single point of failure)
✓ FAIL SECURELY → on error, default to denying access / safe state
✓ KEEP IT SIMPLE → complex code hides bugs/vulnerabilities
✓ SECURITY BY DESIGN → build it in from the start (shift left), not as an afterthought
```

## Miért fontos

Az alapvető biztonságos kódolási gyakorlatok megértése alapvető, mivel **a fejlesztők írják azt a kódot, amely biztonságos vagy sebezhetővé válik**, így a biztonságos gyakorlatok alkalmazása lényeges a biztonságos szoftver építéséhez, ezt fontos biztonsági ismeretté téve.

A biztonságos kódolás — olyan kód írása, amely ellenáll az támadásoknak és védi az adatokat — egyre inkább a fejlesztő felelősségének alapvető része, és az alapok megértése lehetővé teszi, hogy az elektől beépítsük a biztonságot.

Az **alapvető gyakorlatok** — bemeneti adatok validálása (soha ne bízzon külső bemenetben), paraméteres lekérdezések használata (SQL-injekció megelőzése) és kimeneti escape-elés (XSS megelőzése), megfelelő hitelesítés és engedélyezés (kiszolgálóoldali), érzékeny adatok gondos kezelése (jelszavak kivonatása, titkosítás, HTTPS), **titkok nem hardcodeolása** (környezeti változók vagy titkos managers használata — gyakori hiba), és olyan biztonságos alapértelmezések, amelyek biztonságosan kudarcolnak — közvetlenül megelőzik a leggyakoribb sebezhetőségeket.

A **gyakori hibák megértése, amelyeket el kell kerülni** — ügyféloldali ellenőrzésekre való támaszkodás, érzékeny adatok kitétele hibákban és naplókban, elavult/sebezhetővé tett függőségek használata, **saját kriptográfia megírása** (rosszhírű hiba — helyette ellenőrzött könyvtárak használata), és túl széleskörű engedélyek — segít a fejlesztőknek, hogy elkerüljék a gyakori biztonsági hibákat.

A **biztonsági alapelvek megértése** — **legkisebb jogosultság** (minimálisan szükséges hozzáférés, kár korlátozása), **védekezés több rétegben** (több szint, nincs egyetlen meghibásodási pont), **biztonságos kudarc** (alapértelmezés szerint tiltott hozzáférés hibakor), egyszerűtartás (a bonyolultság elrejti a sebezhetőségeket), és **biztonság a tervezés során** (beépítés az elektől) — az elmét és keretrendszert biztosít, amely minden biztonságos kódolás alapja.

Ezek az alapelvek és gyakorlatok tükrözik, hogy a biztonsággal tudatos fejlesztők hogyan dolgoznak.

Mivel a fejlesztők írják azt a kódot, amely meghatározza, hogy a szoftver biztonságos-e, és mivel az alapvető biztonságos kódolási gyakorlatok alkalmazása (bemeneti validálás, paraméteres lekérdezések, megfelelő hitelesítés, titkezelés) és alapelvei (legkisebb jogosultság, védekezés több rétegben, biztonság a tervezés során) megelőzik a gyakori sebezhetőségeket, és mivel ezek megértése lényeges a biztonságos szoftver építéséhez, az alapvető biztonságos kódolási gyakorlatok megértése alapvető, lényeges biztonsági ismerettel — olyan gyakorlatokkal és alapelvekkel, amelyek lehetővé teszik a fejlesztőknek, hogy beépítsék a biztonságot a kódjukba, egyre inkább minden fejlesztőtől elvárva, és központi szerepet játszva olyan szoftver előállításában, amely védi annak felhasználóit és adatait.