إصلاح · أخطاء الأمان

يمكن فتح صفحة الإدارة دون تسجيل دخول

عاجلةأمان

ما قد تراه

تفتح /admin أو لوحة تحكم لأي شخص لديه الرابط
يخفي الدخول الأزرار فقط والبيانات تُحمَّل

السبب الأرجح

إخفاء صفحة أو زر ليس حماية؛ يجب أن يفحص الخادم من يسأل في كل صفحة إدارة وكل إجراء.

افحص أولاً (نحو دقيقتين)

افتح عنوان الإدارة في نافذة خاصة وأنت غير مسجل: هل ترى الصفحة أو البيانات؟
جرّب عنوان إجراء إدارة مباشرة وأنت غير مسجل (بسجل اختبار آمن).

أمر الإصلاح

ما تكتبه هنا لا يغادر متصفحك. البحث يعمل داخل هذه الصفحة ولا يُرسل شيء إلى خادم ولا إلى ذكاء اصطناعي.

نص الخطأ بالضبط أو ما تراه

ما فعلته قبل أن يحدث

يبقى في هذا المتصفح وعلى هذا الجهاز فقط. تُحذف المفاتيح وكلمات المرور قبل أي حفظ.

لغة الأمر

أنت مهندس أمن خبير وهادئ يساعد أشخاصاً ليسوا مبرمجين بعد أن كشفوا سراً عن طريق الخطأ. أنا لست مبرمجاً، لذلك اشرح كل خطوة بكلمات بسيطة وحدّد لي بالضبط أي زر أو قائمة أو أمر تقصد. إذا لم تكن متأكداً من شيء فقل ذلك ولا تخمّن.

الأمر عاجل. نفّذ خطوات الأمان أولاً قبل أي شيء آخر.

المشكلة
يمكن فتح صفحة الإدارة دون تسجيل دخول

نص الخطأ كما ظهر لي، أو ما أراه
[الصق هنا نص الخطأ كما ظهر لك]

ما فعلته قبل أن تحدث المشكلة
[اكتب بإيجاز ما فعلته قبل ظهور المشكلة]

السبب الأرجح
إخفاء صفحة أو زر ليس حماية؛ يجب أن يفحص الخادم من يسأل في كل صفحة إدارة وكل إجراء.

نفّذ هذه الخطوات بهذا الترتيب
1. اعرض كل صفحة إدارة وكل إجراء إدارة (إنشاء وتغيير وحذف وتصدير) وأي فحص يحميه على الخادم.
2. أضف فحصاً على الخادم لمستخدم مسجل بالدور الصحيح لجميعها (صفحات ومسارات API وإجراءات الخادم) مع رفض كل ما عداه.
3. اجعل قواعد قاعدة البيانات (أمان مستوى الصف) متطابقة ليبقى الرابط أو المفتاح المسروق غير قادر على قراءة بيانات خاصة.
4. اكتب اختبارات تستدعي كل عنوان إدارة وأنت خارج وكمستخدم عادي وتتوقع الرفض.
توقف وأخبرني إذا كان ما تراه لا يطابق إحدى الخطوات. لا تتجاوز أي خطوة.

تأكد أن الحل نجح
- يحصل الخارجون والمستخدمون العاديون على رفض في كل صفحة وإجراء إدارة ويبقى المديرون يعملون.
أخبرني بالضبط ماذا يجب أن أرى على الشاشة عندما ينجح.

لا تغيّر
- لا تزل ميزات الإدارة لإصلاح هذا.
- أي شيء لم أطلبه: التصميم أو النصوص أو الصفحات الأخرى أو الإعدادات الأخرى أو البيانات.
- لا تحذف ملفات أو بيانات أو فروعاً، ولا تعِد الضبط ولا تدفع بالقوة (force push)، ولا تعيد كتابة السجل، إلا بعد أن تعرض عليّ بالضبط ما الذي سيضيع وأوافق.
- لا تلصق ولا تطبع ولا تطلب مني لصق كلمة مرور أو مفتاح سري في هذه المحادثة. وإذا لزم أحدها فأخبرني في أي صفحة إعدادات من الخدمة الصحيحة أحفظه.

عند الانتهاء
اشرح بكلمات بسيطة ما الذي غيّرته (ملفاً ملفاً أو إعداداً إعداداً) ولماذا غيّرته وكيف أتراجع عنه.

الصقه في Claude أو ChatGPT أو Gemini أو Cursor ثم اتبع ما يقوله.

بعد أن جرّبته، هل نجح؟

الخطوات

اعرض كل صفحة إدارة وكل إجراء إدارة (إنشاء وتغيير وحذف وتصدير) وأي فحص يحميه على الخادم.
أضف فحصاً على الخادم لمستخدم مسجل بالدور الصحيح لجميعها (صفحات ومسارات API وإجراءات الخادم) مع رفض كل ما عداه.
اجعل قواعد قاعدة البيانات (أمان مستوى الصف) متطابقة ليبقى الرابط أو المفتاح المسروق غير قادر على قراءة بيانات خاصة.
اكتب اختبارات تستدعي كل عنوان إدارة وأنت خارج وكمستخدم عادي وتتوقع الرفض.

لا تفعل هذا

لا تستخدم عنواناً سرياً كحماية.
لا تزل ميزات الإدارة لإصلاح هذا.