vladyslavavh / online-shop Goto Github PK

В додатку відсутній механізм захисту від атак CSRF через використання AntiForgery Token. Впровадьте токен захисту від підробок для всіх POST-запитів і форм, що передбачають зміну стану сервера. Це можна зробити так:

builder.Services.AddControllersWithViews(options => options.Filters.Add(new AutoValidateAntiforgeryTokenAttribute()));

Це автоматично додасть фільтр для перевірки токену безпеки Cross Site Request Forgery для всіх POST запитів.

Таким чином, перевірка токенів CSRF буде автоматично виконуватися для всіх POST-запитів, що надсилаються клієнтом. Самі токени AntiForgery можна додавати до форм за допомогою тег хелперу form, який автоматично згенерує токен.

Додаток не має належного механізму логування помилок, що ускладнює виявлення та відлагодження проблем. Можливим рішенням даної проблеми може бути впровадження механізму логування помилок за допомогою логгера (наприклад, Serilog, NLog).

В Middleware Pipeline не викликається метод UseAuthentication(), що може призвести до некоректної роботи механізмів аутентифікації в додатку. Викличте метод UseAuthentication() в Middleware Pipeline перед UseAuthorization().

У конфігураційному файлі appsettings.json використовується пароль відкритим текстом. Використовуйте безпечні методи для зберігання та управління конфіденційними даними, такі як використання засобів для управління секретами (Secrets Management), які можна використовувати в ASP.NET Core.

У представленні Views\Home\Index.cshtml немає обробки null значень. Додайте перевірку перед викликом FirstOrDefault() і обробіть даний код належним чином.