استهلاك غير آمن لـ APIs خارجية Unsafe Consumption of APIs

الصياغة

عامل كل استجابة من API خارجي كمدخل غير موثوق — طبّق نفس فحوصات مدخلات المستخدم

📄 مثال

// سيئ — يثق باستجابة الطرف الثالث ويتبع أي تحويل بشكل أعمى
const enrichment = await fetch('https://third-party.example.com/enrich?email=' + email);
const data = await enrichment.json();
await db.user.update({ where: { email }, data }); // بلا تحقق أو تعقيم

// جيد — تحقق، تعقيم، ومنع تحويلات غير متوقعة
const enrichment = await fetch('https://third-party.example.com/enrich?email=' + email, {
  redirect: 'manual', // لا تتبع تحويلات تلقائيًا
});
if (enrichment.status >= 300 && enrichment.status < 400) {
  throw new Error('تحويل غير متوقع من طرف ثالث');
}
const raw = await enrichment.json();
const safeData = enrichmentSchema.parse(raw); // تحقق صارم بمخطط (Zod/Joi)
await db.user.update({ where: { email }, data: safeData });

أهم النقاط

💡 نصائح عملية

• هذه الفئة مرتبطة مباشرة بـ SSRF — أي ميزة تجلب أو تتبع روابط من طرف خارجي معرّضة للفئتين معًا

⚠️ أخطاء شائعة

• تخزين أو تنفيذ بيانات من API خارجي دون نفس مستوى التعقيم المطبّق على مدخلات المستخدم المباشرة

خصائص ذات صلة