يقرؤه إنسان، لا ماسح آلي.
التحليل الآلي يجد الأنماط. لا يستطيع أن يعرف أن فحص الصلاحيات غائب عن نقطة واحدة في الواجهة البرمجية، لأنه لا يوجد هناك شيء ليكتشفه.
نقرأ الكود المصدري لتطبيقك بحثاً عن الثغرات الأمنية تحديداً: صلاحيات الوصول، والمصادقة، والتعامل مع البيانات، والأسرار المكشوفة. نركّز حيث يتجمع الخطر، كالمدفوعات والبيانات الشخصية، بدل قراءة كل سطر بالقدر نفسه. كل ثغرة تأتي بموضعها الدقيق وإصلاح مقترح، لتصبح طلب دمج لا نقاشاً. ونتفق على النطاق كتابةً قبل البدء.
آخر تحديث نوفمبر 2026
الثغرة عادةً شيء غائب.
وهذا بالضبط ما لا يستطيع التحليل الساكن اكتشافه.
أخطر الثغرات تكون عادةً شيئاً غائباً.
التحليل الآلي جيد في إيجاد الأنماط الخطرة: استعلام غير آمن، أو خوارزمية ضعيفة. وهو ضعيف في ملاحظة أن نقطة واحدة من أربعين لا تتحقق أبداً من أن المستخدم يملك السجل الذي يطلبه، لأنه لا يوجد كود سيئ ليُشار إليه. لا يوجد كود أصلاً.
الشخص الذي يقرأ بقصد يجد هذه، وهي باستمرار الفئة الأكثر ضرراً. غياب فحص الصلاحيات هو كيف ينتهي عميل إلى رؤية بيانات عميل آخر.
وهي تكمّل اختبار الاختراق ولا تحل محله. الاختبار يُظهر ما يمكن الوصول إليه من الخارج، والمراجعة تُظهر ما هو خاطئ في الداخل، بما فيه مسارات لن يصل إليها المختبر.
ما نبحث عنه.
صلاحيات غائبة
نقاط تتحقق من هويتك لكنها لا تتحقق أبداً من أن السجل لك. أكثر النتائج الخطيرة شيوعاً.
التعامل مع المصادقة
الجلسات، والرموز، وإعادة تعيين كلمة المرور، وانتهاء الجلسة. حيث تتركز الأخطاء الضارة.
أسرار في المستودع
مفاتيح وبيانات دخول أُودعت في الكود، بما فيها في السجل التاريخي حيث ينسى الناس أن ينظروا.
التعامل مع المدخلات
مسارات الحقن، وفك التسلسل غير الآمن، وعرض القوالب ببيانات المستخدم.
بيانات حساسة في السجلات
أرقام بطاقات، ورموز، وبيانات شخصية تُكتب في سجلات يقرؤها كثيرون.
مخاطر المكتبات
ثغرات معروفة، وحزم لم يعد أحد يصونها.
استخدام التشفير
ليس الخوارزميات، فهي سليمة عادةً، بل طريقة استخدامها، وهي كثيراً ما لا تكون كذلك.
إصلاح لكل نتيجة
الملف، والسطر، والتغيير المقترح. لتصبح طلب دمج لا نقاشاً.
مراجعة الكود، أم اختبار الاختراق؟
يجدان أشياء مختلفة. ينبغي لمعظم الفرق أن تفعل الاثنين، وهذه عادةً الأقل تكلفة.
| مراجعة الكود الآمن | اختبار الاختراق | |
|---|---|---|
| المنظور | من الداخل، بقراءة المصدر | من الخارج، بمهاجمة التطبيق العامل |
| فحوص صلاحيات غائبة | نعم، وهذه أقوى حجة لها | فقط حيث يمكن الوصول |
| أسرار مكتوبة في الكود | نعم | نادراً |
| كود خطر لا يمكن الوصول إليه بعد | نعم | لا، لا يمكن الوصول إليه |
| ثغرات الإعداد والنشر | جزئياً | نعم |
| يثبت إمكانية الاستغلال | لا، يُظهر الثغرة | نعم، يُظهر الهجوم |
| يحتاج الوصول إلى المصدر | نعم | لا |
كيف نقرأ.
صلاحيات غائبة عن نقطة في الواجهة البرمجية. لا يجدها أي ماسح، لأنه لا يوجد شيء ليجده.
كان مؤسسنا المدير التقني لـ Kuickpay، وصفحة الدفع التي بُنيت لها في الإنتاج منذ أكثر من أربع سنوات. الكود القريب من المال يُقرأ على هذا الأساس.
الملف، والسطر، والتغيير. ينبغي أن تصبح طلب دمج لا محادثة.
متى تراجع.
قبل التعامل مع المال أو البيانات الشخصية
اكتشافها الآن أرخص من اكتشافها بعد تسريب.
ورثت قاعدة كود
استحواذ، أو تسليم من وكالة. لا تستطيع الوثوق بما لم تقرأه.
وجد اختبار شيئاً مقلقاً
إن كان فحص صلاحيات واحد غائباً، فراجع إن كانت البقية موجودة.
لا تشترِ هذا بدل الاختبارات الآلية
إذا لم يكن أي شيء في كودك يُتحقق منه تلقائياً، فإصلاح ذلك أولاً سيفيدك أكثر. سنقول لك ذلك.
كيف نعمل.
نحدد أين يقع الخطر
المصادقة، والمدفوعات، والبيانات الشخصية. نقرأ هذه بعمق بدل قراءة كل شيء بسطحية.
نشغّل الأدوات في الخلفية
تلتقط الأنماط الواضحة، وتفرّغ القراءة لما تفوّته الأدوات.
نقرأ بقصد
نتتبع حركة البيانات، وأين ينبغي أن تكون الفحوص ولا تكون.
نتحقق من كل نتيجة
في الكود، مع المسار موضّحاً. لا ينبغي أن يطارد أحد مشكلة نظرية.
نرتّب بحسب الأثر الحقيقي
ما تسمح به الثغرة فعلاً في تطبيقك، لا رقم خطورة عام.
نعطي إصلاحاً لا محاضرة
الملف، والسطر، والتغيير المقترح، ليفتح فريقك طلب دمج لا جدلاً.
مراجعة الكود الآمن
6 أسئلة مع إجاباتها. لديك سؤال آخر؟ تواصل معنا.
الفحص يجد الأنماط الخطرة الموجودة في الكود. لا يستطيع أن يجد شيئاً غائباً، وفحص الصلاحيات الغائب هو بالضبط ذلك. لا كود سيئ ليُشار إليه، بل نقطة لا تتحقق أبداً من أن السجل يخص الطالب. وهذه الفئة هي باستمرار مصدر أخطر النتائج، وتحتاج إنساناً.