وصول غير مقيّد لتدفقات الأعمال الحساسة Unrestricted Access to Sensitive Business Flows

الصياغة

لا يوجد نمط كود واحد — الحل مزيج من: بصمة الجهاز، CAPTCHA، تحليل سلوكي، وحدود معدل مخصصة للتدفق

📄 مثال

// مثال: حد صارم على معدل الشراء لكل مستخدم/جهاز، مختلف عن Rate Limit العام للـ API
const purchaseLimiter = rateLimit({
  windowMs: 60 * 1000,
  max: 1, // عملية شراء واحدة بالدقيقة لكل مستخدم
  keyGenerator: (req) => req.user.id,
});
app.post('/api/checkout', authenticate, purchaseLimiter, checkoutHandler);

// كشف تسجيل حسابات آلي: طلب تحقق بريد إلزامي + حد لعدد الحسابات لكل IP باليوم
app.post('/api/register', ipRateLimit({ max: 5, windowMs: 24 * 60 * 60 * 1000 }), registerHandler);

أهم النقاط

💡 نصائح عملية

• لا يكفي حماية الواجهة الرسومية — تأكد أن الـ API نفسه (لا الموقع فقط) محمي من نفس الإساءة

⚠️ أخطاء شائعة

• الظن أن Rate Limiting العام على مستوى الـ IP كافٍ — مهاجم محترف يوزّع الطلبات على مئات الـ IPs

خصائص ذات صلة