دسترسی به داده؛ مدیر، همکار و مالک رکورد

#یک جدول مجوز بنویس

برای هر نوع داده، خواندن، ساختن، ویرایش و حذف را جدا مشخص کن. نقش «همکار محیط ساخت» را با نقش «کاربر اپ» یکی نگیر.

#مجوز را در سمت سرور هم بخواه

پنهان‌کردن دکمه کافی نیست. درخواست مستقیم برای داده باید هم هویت و هم مجوز همان کاربر را بررسی کند.

#آزمون منفی را فراموش نکن

1. دو کاربر مجزا بساز

   از دو نشست جدا استفاده کن تا ورود مدیر روی نتیجه اثر نگذارد.

2. یک داده برای هر کاربر ثبت کن

   هر کاربر باید دادهٔ خودش را ببیند و دادهٔ دیگری را نبیند.

3. مسیر مستقیم را بررسی کن

   لینک رکورد خصوصی را در نشست دیگر باز کن؛ پاسخ نباید محتوای آن را نشان بدهد.

#چه زمانی انتشار را متوقف کنی؟

اگر کاربر دوم دادهٔ اول را دید، تا رفع و آزمون دوباره دادهٔ واقعی وارد نکن. نتیجهٔ اسکن امنیتی کمک‌کننده است اما جای آزمون مجوزهای مخصوص اپ را نمی‌گیرد.

#پیش از دادن دسترسی به دادهٔ واقعی

• برای هر عمل، مالک داده و نقش مجاز مشخص است.
• کاربر نامجاز با بازکردن مستقیم نشانی هم محتوا را نمی‌بیند.
• ورود موفق، اجازهٔ دیدن همهٔ رکوردها محسوب نمی‌شود.
• آزمون را پس از تغییر ورود، نقش یا ساختار داده دوباره انجام بده.

#اگر به نتیجه نرسیدی