Главное чтобы с целью зароботка разработчики открытого софта не начали выпиливать из поставки сырцов Makefile и ./configure — собрать будет нереально, зато купить бинарик за n$ лишний повод
Так git и работает по ssh. об этом первая часть статьи. https и так есть, только чем он может защитить от брутфорса? Вставить в каждый браузер каждого разрабочика «правильный» клиенский сертификат и проверять по сертификату — просто нереально в моей ситуации.
на данный момент ssh подбирать перестали, а вот basic-автоизацию на web подбирают несмотря на то что получают в 99% случаев «сервис временно недоступен». Возможно их брутфорсер не понимает статуса 503…
В любом случае угрозы они уже не представляют. Ломанут basic — будут еще долго подбирать вход в приложение, пока там подбирают — поменяем логин и пароль на basic-авторизации. И так по кругу. Надоест менять — автоматизирую сия процесс :-)
Так смысл такой атаки заключается в том что на действие у пользователя есть всё права и он в данный момент авторизован и выполняет это под своим логином и из своей сессии.
Если у пользователя есть действие для удаления собственного аккаунта и права на это, но нет защиты от Cross Site Request — злоумышленнику ничего не мешает это сделать
Я то это знаю, но тем не менее многие этого не знают и так делают.
+Данная библиотека защищает не только от опасных действий но и от вытаскивания контента страницы ( например с персональными данными пользователя), например в iframe или в div с помощью $('div.hidden').load('http://example.com/profile/');.
2. Как с бенчмарками? насколько растет производительность и падает расход ресурсов?
В любом случае угрозы они уже не представляют. Ломанут basic — будут еще долго подбирать вход в приложение, пока там подбирают — поменяем логин и пароль на basic-авторизации. И так по кругу. Надоест менять — автоматизирую сия процесс :-)
Если у пользователя есть действие для удаления собственного аккаунта и права на это, но нет защиты от Cross Site Request — злоумышленнику ничего не мешает это сделать
+Данная библиотека защищает не только от опасных действий но и от вытаскивания контента страницы ( например с персональными данными пользователя), например в iframe или в div с помощью $('div.hidden').load('http://example.com/profile/');.