Doconut عارض يصبح جزءًا من حدود أمان تطبيقك بمجرد أن يعرض العقود، الفواتير، الرسومات الهندسية، أو سجلات العملاء. Doconut يوفر طبقة العرض؛ يجب على التطبيق المحيط أن يقرر من يمكنه فتح ملف، أين يتم تخزين المصدر، إلى متى تظل البيانات المستمدة متاحة، وما الذي يُسجل للتحقيق.
مقال Doconut حول ممارسات عرض المستندات الآمنة يصف العرض من جانب الخادم كطبقة واحدة في تصميم دفاع متعدد الطبقات. لذلك يركز هذا المقال على مسؤوليات التطبيق حول Doconut ويوجه تفاصيل التنفيذ إلى وثائق المنتج المُصانة.
ابدأ بنموذج التهديد
“Private” و “secure” ليستا إعدادات. حدد الأحداث التي تحتاج إلى منعها أو اكتشافها قبل اختيار الضوابط.
| المخاطر | مثال | ضبط التطبيق |
|---|---|---|
| الوصول غير المصرح به | مستخدم يغيّر معرف المستند في عنوان URL | تفويض على مستوى الكائن في كل طلب |
| تجاوز المستأجر | مستخدم صالح يطلب ملف عميل آخر | نطاق المستأجر مشمول في قرار التفويض |
| كشف المصدر | مسار التخزين أو الملف الأصلي يُعاد مباشرة | عملية بحث وعرض يتحكم فيها الخادم |
| وصول قديم | رابط يظل قابلاً للاستخدام بعد تغيير دور أو حالة | مدة جلسة قصيرة مع إعادة التحقق من التفويض |
| احتفاظ مفرط | تراكم المدخلات أو المخرجات المؤقتة | وظائف دورة حياة صريحة مع نتائج قابلة للملاحظة |
| تسجيل حساس | الرموز أو مواقع الملفات تظهر في السجلات | إزالة هيكلية وتسجيل بيانات تعريفية فقط |
قم بأولوية المخاطر وفقًا للمستندات والمستخدمين في نظامك. لا ينبغي لمكتبة الكتيبات العامة وبوابة الأدلة القانونية أن تشتركا في نفس السياسة لمجرد أنهما يستخدمان نفس العارض.
حالة استخدام مراجعة المستندات القانونية من Doconut (حالة استخدام مراجعة المستندات القانونية) هي مرجع مفيد لدور المنتج داخل سير عمل القضايا، العقود، الأدلة، والامتثال المصادق عليها. كما أنها تعزز حد الهندسة المعمارية: الأذونات، التخزين، سجلات العملاء، وقواعد الأعمال تظل قريبة من التطبيق المضيف.
التفويض قبل فتح المستند
قم بإجراء المصادقة وتفويض على مستوى الكائن قبل فتح المستند باستخدام Doconut. يُظهر الدليل الرسمي دليل الإعداد لـ .NET 6 أو أعلى كيفية تكوين العارض وكيفية فتح مستند من جانب الخادم؛ ضع هوية تطبيقك، المستأجر، وفحوصات أذونات المستند قبل تلك الخطوة في المنتج.
كرر قاعدة التفويض نفسها لكل عملية ذات صلة يقدمها تطبيقك، بما في ذلك الصفحات، الصور المصغرة، البحث، التعليقات التوضيحية، التحويل، التنزيل، والطباعة. إخفاء زر لا يحمي الطلب الأساسي.
تجنب قبول مسار نظام ملفات، مفتاح تخزين، أو URL بعيد مباشرةً من المتصفح. حلّ معرّف المستند المملوك للتطبيق إلى موقع التخزين على الخادم، ثم تأكد من أن الكائن المحلول ينتمي إلى المستأجر المصرح به وسير العمل.
فصل العارض عن سياسة التخزين
يجب ألا يحدد العارض فترة الاحتفاظ الخاصة بك. وثّق كل فئة تخزين ومالك:
- المستند الأصلي — يتحكم فيه سياسة المحتوى أو السجلات الأساسية الخاصة بك.
- ملفات العمل المؤقتة — تُنشأ للمعالجة وتُحذف بواسطة دورة حياة مجدولة وقابلة للملاحظة.
- الصفحات أو الذاكرات المخبأة المُعالجة — محدودة بأقل مدة مفيدة ومحمية مثل الأصل.
- التصديرات والملفات الجاهزة للطباعة — تُنشأ فقط عندما يكون للمستخدم الإذن المطابق.
- السجلات وأحداث التدقيق — تحتوي على معرّفات ونتائج، وليس محتوى المستند أو بيانات الاعتماد.
يعتمد التشفير أثناء النقل وعند الراحة على خادم الويب الخاص بك، مزود التخزين، إدارة المفاتيح، وإعدادات النشر. تحقق من تلك الضوابط في البيئة الفعلية؛ لا تستنتجها من وجود مكتبة عارض.
استخدم المراجع قصيرة العمر بحذر
يمكن أن يقلل المرجع قصير العمر من الوقت المتاح لإعادة التشغيل، لكنه لا يحل محل التفويض. إذا كان تصميمك يستخدم مسارًا موقّعًا أو رمز جلسة:
- اربطه بمستند واحد والعملية المقصودة.
- امنحه عمرًا محدودًا بناءً على سير العمل.
- تجنب وضع مطالبات حساسة أو مواقع تخزين بنص واضح.
- أعد التحقق من التفويض للعمليات ذات الامتيازات.
- عرّف ما يعنيه الإلغاء قبل وقت الانتهاء الطبيعي.
- احتفظ بالرموز بعيدًا عن التحليلات، المراجع، رسائل الاستثناء، ولقطات الشاشة.
عند انتهاء جلسة المتصفح، اعرض رسالة محايدة وقدم طريقة آمنة لإعادة المصادقة. لا تكشف ما إذا كان مستأجر آخر يملك المستند.
فهم ما يمكن وما لا يمكن لضوابط الجانب العميل القيام به
إزالة ضوابط التنزيل أو الطباعة يمكن أن تحسن سير العمل المقصود، لكنها ليست ضمانًا للسرية. المستخدم الذي يمكنه رؤية المحتوى قد يلتقط الشاشة، يصورها بالكاميرا، أو يستخدم إمكانيات المتصفح خارج العارض.
عامل قيود الجانب العميل كإجراءات تحسين الاستخدام والردع. الضوابط الأقوى تأتي من إبقاء الملفات الأصلية خلف الخادم، تطبيق التفويض على كل طلب ذي صلة، تقييد الصادرات، واستخدام علامات مائية مرئية عندما تتطلب سياستك ذلك.
لا تحول ميزات المنتج إلى ادعاءات امتثال
يعتمد الامتثال التنظيمي على الغرض، فئات البيانات، الأساس القانوني، العقود، المعالجة الإقليمية، الاحتفاظ، الاستجابة للحوادث، وإجراءات المنظمة. يمكن للعارض دعم تصميم متوافق، لكنه لا يجعل التطبيق متوافقًا بحد ذاته.
للتقييم وفقًا للائحة GDPR، وثّق على الأقل:
- أين يتم معالجة وتخزين الملفات الأصلية والمستمدة
- من هو المتحكم والمعالج لكل خدمة
- ما هي المعالجات الفرعية والنقل المتضمنة
- كيف تصل طلبات الحذف إلى كل فئة تخزين وسياسة النسخ الاحتياطي
- ما هي الأحداث المسجلة وإلى متى تظل السجلات متاحة
- كيف تُجرى مراجعات الوصول والاستجابة للحوادث
اجعل أصحاب المصلحة في الخصوصية والقانون يتحققون من صحة تلك القرارات لنشرك.
إضافة رؤوس الأمان وقواعد التخزين المؤقت
لطرق المعاينة المصادقة، قيم سياسة أمان محتوى مقيدة، سياسة الإطار، حماية كشف MIME، وسياسة المرجع. إذا ظهرت المعاينة داخل iframe، اجعل أصول الوالد المقصودة صريحة.
اختر رؤوس التخزين المؤقت وفقًا للحساسية ومسار العرض. قد يكون no-store مناسبًا لبعض الاستجابات، لكنه قد يؤثر على الأداء ولا يمحو المحتوى الذي تم التقاطه بالفعل في مكان آخر. اختبر سلوك المتصفح، الوكيل، وCDN بدلاً من الاعتماد على رأس بمفرده.
سجّل القرارات، لا الأسرار
قد يحتوي حدث تدقيق مفيد على:
- معرّفات المستخدم والمستأجر
- معرّف المستند
- العملية المطلوبة
- نتيجة التفويض
- الطابع الزمني ومعرّف الارتباط
- نتيجة الاحتفاظ أو التنظيف
تجنب تسجيل الرموز الخام، سلاسل الاستعلام، عناوين URL للتخزين، أسماء المستندات التي تحتوي على بيانات شخصية، أو النص المستخرج. احمِ سجلات التدقيق من التعديل وحدّ وصول الفرق التي تحتاجها.
تحقق من التدفق الكامل
يجب أن تشمل اختبارات الأمان الحالات السلبية:
- تغيير معرف المستند مع البقاء مصدقًا.
- إعادة استخدام عنوان URL للمعاينة من مستخدم أو مستأجر آخر.
- استدعاء نقاط النهاية للصفحة، الصورة المصغرة، الطباعة، والتصدير مباشرة.
- انتهاء الجلسة أثناء معاينة طويلة.
- إزالة إذن المستخدم أثناء فتح المستند.
- تقديم مدخل غير مدعوم، كبير الحجم، تالف، أو محمي بكلمة مرور.
- تأكيد أن وظائف التنظيف تزيل البيانات المؤهلة وتبلغ عن الفشل.
- فحص السجلات، التحليلات، وصفحات الخطأ للقيم الحساسة.
أتمت الحالات المستقرة واحتفظ بمراجعة يدوية لتكوين التخزين، سياسة المتصفح، وتغييرات نسخة العارض.
الخلاصة
التكامل الذي يركز على الأمان يمتلك ملكية واضحة. Doconut يوفر قدرة عرض المستندات الموضحة في الوثائق الرسمية؛ تطبيقك يوفر المصادقة، التفويض، ضوابط التخزين، الاحتفاظ، المراقبة، والاستجابة للحوادث. إبقاء تلك المسؤوليات صريحة ينتج ضوابط أقوى وادعاءات خصوصية أكثر صدقًا.