جلسات، كوكيز، وصلاحيات

المصادقة = 'مينك'. التفويض = 'إيش يحقّلك'. أغلب المواقع بيهتم بالأولى وينسى الثانية. هون بتسرق الفواتير.

IDOR: غيّر الرقم

GET /api/invoice/1042  → 200 OK (فاتورتك)
GET /api/invoice/1043  → 200 OK (فاتورة غيرك!)

# الخادم سأل: 'إيش الرقم؟' — وما سأل: 'إيش علاقتك بالرقم؟'

وفي الشكل الأرقى: تغيّر نوع المعرّف من رقم لاسم، أو تغيّر بارامتر مثل role=user لـ role=admin، أو تضيف &admin=1 على الطلب. المواقع اللي بتثق بالعميل بتسقط فوراً.

كسر المنطق

• ترتيب خطوات مسكوت عنه: تدفع قبل ما تتحقق من العنوان؟
• سالب: quantity=-1 → يرجعلك فلوس.
• إعادة استعمال رمز خصم: استخدمو مرتين.
• تسابق (race): اضغط 'استخدم الرصيد' مرتين بنفس اللحظة.

العلاج: كل طلب لازم يتحقق من الصلاحية في الخادم، مش في الواجهة. إخفاء الزر مش حماية — أي حد يقدر ينادي الطلب مباشرة.