WEB30 / LATIHAN MENYUSUN HASIL
Proyek API dan identitas
Masih dalam pengembangan. Belajar pelan-pelan. Gunakan komputer sendiri dan data contoh.
Isi pelajaran ini
Kita belajar apa?
Tiga masalah bisa terjadi di tempat berbeda: identitas salah diterima, catatan orang lain terbaca, atau data internal ikut terkirim. Ketiganya perlu dijelaskan terpisah supaya perbaikannya tepat.
Bayangkan seperti ini
Memeriksa kartu anggota, izin meminjam, dan isi bukti peminjaman adalah tiga pemeriksaan berbeda.
Arti kata yang mungkin baru
- session
- cara aplikasi menghubungkan beberapa permintaan dengan keadaan pengguna
Penjelasan tambahan jika kamu ingin tahu lebih jauh
Pengujian identitas mencakup keputusan login, hak objek, dan data yang dikirim. Ketiganya perlu dinilai terpisah agar satu patch tidak dianggap menyelesaikan semuanya. Proyek ini menggabungkan tiga simulasi lokal dengan batas yang jujur.
Persiapan
Siapkan catatan dan baca panduan perangkat. Pakai data buatan, bukan data pribadi. Baca satu langkah, kerjakan, lalu periksa hasilnya sebelum melanjutkan.
- Unduh dan ekstrak ZIP lab dari halaman Perlengkapan ke komputer sendiri.
- Buka terminal di folder lab. Jalankan
python lab_web.py --enable-local-training. Gunakanpyataupython3jika itu nama Python pada perangkatmu. - Biarkan terminal tetap terbuka. Buka browser dan tulis
http://127.0.0.1:8765/pada bilah alamat di atas, lalu Enter. - Jika langkah menyebut
/noteatau nama halaman lain, tambahkan ke alamat lab. Contoh:http://127.0.0.1:8765/note?mode=fixed&id=1. Pilih mode lewat kotak pilihan jika tersedia. - Sesudah selesai, kembali ke terminal dan tekan Ctrl+C untuk menghentikan lab.
Langkah latihan
- Uji password salah pada /login di dua mode.
- Uji id=2 pada /note di dua mode.
- Uji id=1 pada /api/profile di dua mode.
- Tulis tiga laporan pendek dengan bukti masing-masing.
- Sebutkan bagian session dan JWT sebagai latihan rancangan, bukan akun yang benar-benar diuji.
Hasil yang diharapkan
Tiga laporan menjelaskan tiga penyebab berbeda dengan data lab saja.
Bandingkan dengan hasilmu sendiri. Jika berbeda, tulis apa yang terlihat lalu baca bagian bantuan di bawah. Jangan mengaku berhasil jika langkahnya belum kamu coba.
Jika terhambat
Berhenti sebentar dan baca pesan yang muncul. Periksa nama file, folder, alamat, dan apakah program latihan masih berjalan. Ulangi satu langkah saja. Jika tetap bingung, minta bantuan guru atau pendamping; jangan mematikan keamanan perangkat.
Petunjuk khusus untuk pelajaran ini
Jangan menyebut akun nyata diambil alih; lab hanya keputusan dan data fiktif.
Apa yang perlu kamu catat?
Tulis langkah yang kamu lakukan dan hasil yang benar-benar terlihat. Tambahkan satu kalimat: “Saya belajar bahwa …”. Untuk latihan menggambar, simpan gambar dan jawabanmu.
Cek pemahamanmu
Mengapa login, IDOR dan field API ditulis sebagai temuan terpisah?
Buka pembahasan
Ketiganya mempunyai akar masalah dan kontrol berbeda: identitas, hak objek, dan pemilihan data respons.
Tantangan mandiri
Prioritaskan perbaikan untuk sistem hipotetis berisi data sensitif dengan alasan.
Pedoman penilaian tantangan
Jawaban harus sesuai hasil aktual, menyebut batas kesimpulan, dan tidak keluar scope. Gunakan langkah serta hasil harapan pelajaran sebagai pembanding; nilai 0 bila belum ada, 1 bila sebagian, 2 bila jelas dan dapat ditinjau.
Perbaikan & retest
Gabungkan autentikasi, otorisasi dan minimisasi data dengan pengujian regresi.