رابط التحقق صالح لاستخدام واحد. هذا لا يثبت من فتحه.

تنتمي عملية التحقق المكتملة إلى العميل والرحلة اللذين أنشأهما خادمك. قبل تغيير صلاحيات الحساب، طابق هذه العلاقة مع النتيجة المعتمدة. لا تكفي عودة المتصفح بنجاح أو حيازة رابط أحادي الاستخدام.

تأمل مثالاً من الدعم: ينسخ الموظف رابط التحقق إلى محادثة خاطئة. حتى إن كان يستخدم مرة واحدة، فلا يزال عليك معرفة الحساب الذي يسمح للأدلة الناتجة بالتأثير فيه.

أنشئ الارتباط قبل إرسال الرابط

أنشئ الرحلة من الخادم باستخدام مرجع العميل المقصود والمؤسسة والبيئة وسير العمل. احفظ مرجع الجلسة العائد ضمن ذلك الطلب قبل إرسال الرابط.

لا تسمح لمعرف عميل يرسله المتصفح باختيار الحساب الذي يصبح موثقاً. تحقق من أن المستخدم مخول ببدء الرحلة لهذا الحساب.

توصي إرشادات OWASP للصلاحيات (يفتح في علامة تبويب جديدة) بفحص الأذونات في كل طلب. طبق هذا المبدأ عند إنشاء الرحلة وعند استخدام نتيجتها.

اجعل الإرسال جزءاً من الضبط

أرسل الرابط عبر القناة المقصودة للعميل. أبق الروابط الكاملة خارج أحداث التحليلات ولقطات الشاشة وملاحظات الدعم التي لا تحتاج إليها. استخدم المراجع بدلاً من نسخ الرابط بين الفرق.

إذا وصل الرابط إلى الشخص الخطأ، استخدم آليات الإلغاء أو انتهاء الصلاحية الموثقة لدى المزود متى كانت متاحة. لا تفترض أن إنشاء رابط آخر يعطل الأول. صعد الحالة إذا لم تستطع تحديد التعرض المتبقي.

توضح إرشادات OWASP للجلسات (يفتح في علامة تبويب جديدة) ضرورة التعامل الحذر مع الرموز الموجودة في الروابط. تأكد من سلوك المزود الفعلي بدلاً من افتراض ضمانات.

اعتمد النتيجة على الخادم

عند وصول النتيجة، تحقق من صحتها واجلب الحالة الحالية عند الحاجة. طابقها مع العميل والرحلة والبيئة المحفوظة. افحص القرار النهائي الذي تتطلبه سياستك قبل منح الصلاحيات.

يمكن لشاشة اكتمال الالتقاط أن تخبر العميل بالخطوة التالية، لكنها لا ينبغي أن توافق على الحساب وحدها. حافظ على معاني حالات الانتظار والمراجعة والاكتمال.

اختبر مسار المستلم الخطأ

اختبر عميلين في جلستي متصفح منفصلتين، ورابطاً يفتحه شخص غير مقصود، ورحلة منتهية، ونتيجة متأخرة. تأكد من عدم قدرة أي نتيجة على تحديث حساب لا يرتبط بها.

تدعم Toden رحلات مستضافة مرتبطة بالعميل؛ ويبقى تطبيقك مسؤولاً عن تنفيذ صلاحيات الحساب. ابدأ بدليل الرابط المستضاف أو SDK، ثم استخدم مراجع التكامل لاختبار الارتباط من البداية إلى النهاية.