إصلاح · تسجيل الدخول والحسابات

مستخدم مسجل يستطيع رؤية بيانات مستخدم آخر

عاجلةأمان

ما قد تراه

تغيير الرقم في العنوان يعرض طلب شخص آخر أو ملفه
رأى عميل تفاصيل عميل آخر

السبب الأرجح

يجد الخادم السجل برقمه دون التحقق أنه يخص الشخص الذي يسأل.

افحص أولاً (نحو دقيقتين)

سجّل الدخول كمستخدم تجريبي أ وافتح عنوان سجل المستخدم التجريبي ب: هل تظهر البيانات؟

أمر الإصلاح

ما تكتبه هنا لا يغادر متصفحك. البحث يعمل داخل هذه الصفحة ولا يُرسل شيء إلى خادم ولا إلى ذكاء اصطناعي.

نص الخطأ بالضبط أو ما تراه

ما فعلته قبل أن يحدث

يبقى في هذا المتصفح وعلى هذا الجهاز فقط. تُحذف المفاتيح وكلمات المرور قبل أي حفظ.

لغة الأمر

أنت مهندس حذر وخبير يعرف تسجيل الدخول والجلسات وحسابات المستخدمين ويشرحها لأشخاص ليسوا مبرمجين. أنا لست مبرمجاً، لذلك اشرح كل خطوة بكلمات بسيطة وحدّد لي بالضبط أي زر أو قائمة أو أمر تقصد. إذا لم تكن متأكداً من شيء فقل ذلك ولا تخمّن.

الأمر عاجل. نفّذ خطوات الأمان أولاً قبل أي شيء آخر.

المشكلة
مستخدم مسجل يستطيع رؤية بيانات مستخدم آخر

نص الخطأ كما ظهر لي، أو ما أراه
[الصق هنا نص الخطأ كما ظهر لك]

ما فعلته قبل أن تحدث المشكلة
[اكتب بإيجاز ما فعلته قبل ظهور المشكلة]

السبب الأرجح
يجد الخادم السجل برقمه دون التحقق أنه يخص الشخص الذي يسأل.

نفّذ هذه الخطوات بهذا الترتيب
1. اعرض كل صفحة ومسار API وإجراء يأخذ معرّفاً (طلبات وملفات شخصية وملفات وفواتير).
2. لكل منها اجعل الخادم يفحص أن السجل يخص المستخدم المسجل (أو أن له دور موظف) ويرد "غير موجود" خلاف ذلك؛ وأضف قواعد قاعدة البيانات (أمان مستوى الصف) كجدار ثانٍ.
3. استخدم معرّفات عشوائية طويلة لكل ما يظهر في العناوين (وليس 1 و2 و3).
4. أضف اختبارات بمستخدمين تجريبيين يحاولان قراءة سجلات بعضهما وتغييرها وحذفها.
توقف وأخبرني إذا كان ما تراه لا يطابق إحدى الخطوات. لا تتجاوز أي خطوة.

تأكد أن الحل نجح
- يحصل المستخدم التجريبي أ على "غير موجود" لكل سجل للمستخدم ب في الصفحات واستدعاءات API والملفات.
أخبرني بالضبط ماذا يجب أن أرى على الشاشة عندما ينجح.

لا تغيّر
- لا تختبر ببيانات عملاء حقيقيين.
- أي شيء لم أطلبه: التصميم أو النصوص أو الصفحات الأخرى أو الإعدادات الأخرى أو البيانات.
- لا تحذف ملفات أو بيانات أو فروعاً، ولا تعِد الضبط ولا تدفع بالقوة (force push)، ولا تعيد كتابة السجل، إلا بعد أن تعرض عليّ بالضبط ما الذي سيضيع وأوافق.
- لا تلصق ولا تطبع ولا تطلب مني لصق كلمة مرور أو مفتاح سري في هذه المحادثة. وإذا لزم أحدها فأخبرني في أي صفحة إعدادات من الخدمة الصحيحة أحفظه.

عند الانتهاء
اشرح بكلمات بسيطة ما الذي غيّرته (ملفاً ملفاً أو إعداداً إعداداً) ولماذا غيّرته وكيف أتراجع عنه.

الصقه في Claude أو ChatGPT أو Gemini أو Cursor ثم اتبع ما يقوله.

بعد أن جرّبته، هل نجح؟

الخطوات

اعرض كل صفحة ومسار API وإجراء يأخذ معرّفاً (طلبات وملفات شخصية وملفات وفواتير).
لكل منها اجعل الخادم يفحص أن السجل يخص المستخدم المسجل (أو أن له دور موظف) ويرد "غير موجود" خلاف ذلك؛ وأضف قواعد قاعدة البيانات (أمان مستوى الصف) كجدار ثانٍ.
استخدم معرّفات عشوائية طويلة لكل ما يظهر في العناوين (وليس 1 و2 و3).
أضف اختبارات بمستخدمين تجريبيين يحاولان قراءة سجلات بعضهما وتغييرها وحذفها.

لا تفعل هذا

لا تعتمد على إخفاء الروابط.
لا تختبر ببيانات عملاء حقيقيين.