فلش‌کارت‌های آموزشی Securing Your APIs: Authentication and Authorization

🎓 دوره آموزشی جامع

📚 اطلاعات دوره

عنوان دوره: دوره Securing Your APIs: Authentication and Authorization

موضوع کلی: برنامه نویسی

موضوع میانی: ای‌پی‌آی (API) و وب‌سرویس‌ها

📋 سرفصل‌های دوره

• 1. معرفی دوره: چرا امنیت API مهم است؟
• 2. API چیست؟ مفاهیم پایه (RESTful, SOAP)
• 3. وب‌سرویس‌ها و تفاوت آن‌ها با API
• 4. مولفه‌های یک درخواست API (HTTP Methods, Headers, Body, Status Codes)
• 5. نقش API در معماری‌های مدرن (میکروسرویس، موبایل، SPAs)
• 6. مسائل امنیتی رایج در APIها: یک دید کلی
• 7. مدل تهدید برای APIها
• 8. مفاهیم پایه شبکه برای امنیت API (HTTPS, TLS/SSL)
• 9. رمزنگاری پایه: اصول و کاربردها در امنیت API
• 10. اهمیت محرمانگی، یکپارچگی، و در دسترس بودن (CIA Triad) در API
• 11. مقدمه‌ای بر احراز هویت (Authentication)
• 12. مقدمه‌ای بر اعطای مجوز (Authorization)
• 13. تفاوت اساسی بین Authentication و Authorization
• 14. اصول Least Privilege و Separation of Concerns در امنیت API
• 15. حمله تزریق (Injection Attacks) و ارتباط آن با API
• 16. آسیب‌پذیری‌های مرتبط با مدیریت نشست (Session Management)
• 17. Cross-Site Scripting (XSS) و تأثیر آن بر API
• 18. Cross-Site Request Forgery (CSRF) و جلوگیری از آن در API
• 19. آسیب‌پذیری‌های مربوط به Configuration غلط
• 20. اهمیت به‌روزرسانی و Patching در امنیت API
• 21. احراز هویت با نام کاربری و رمز عبور: اصول اولیه
• 22. Basic Authentication در HTTP
• 23. Digest Authentication در HTTP
• 24. API Keys: استفاده، مزایا و معایب
• 25. مدیریت و چرخش API Keys
• 26. Token-based Authentication: مقدمه
• 27. Session-based Authentication: کوکی‌ها و مدیریت نشست
• 28. مقایسه Session-based و Token-based Authentication
• 29. استفاده از HTTPS/TLS برای حفاظت از اعتبارنامه‌ها
• 30. ذخیره‌سازی امن رمز عبور (Hashing, Salting, Stretching)
• 31. مقدمه‌ای بر OAuth 2.0: نقش و هدف
• 32. انواع Grant Typeها در OAuth 2.0 (Authorization Code, Client Credentials)
• 33. Implicit Grant Type (و مشکلات امنیتی آن)
• 34. Resource Owner Password Credentials Grant (و مشکلات امنیتی آن)
• 35. PKCE (Proof Key for Code Exchange) برای Authorization Code Grant
• 36. OAuth 2.0 Flows: گام به گام (Web App, Mobile App)
• 37. معرفی OpenID Connect (OIDC) و تفاوت آن با OAuth 2.0
• 38. ID Token و Access Token در OIDC/OAuth
• 39. JWT (JSON Web Token): ساختار و اجزا
• 40. امضای JWT و اعتبارسنجی آن
• 41. JWT در مقابل Session Tokens
• 42. مدیریت JWT (انقضا، ابطال)
• 43. Service Accounts و احراز هویت ماشین به ماشین (Machine-to-Machine)
• 44. Mutual TLS (mTLS) برای احراز هویت قوی‌تر
• 45. SAML (Security Assertion Markup Language) و کاربرد آن
• 46. مقدمه‌ای بر Authorization
• 47. Role-Based Access Control (RBAC): اصول و طراحی
• 48. Attribute-Based Access Control (ABAC): اصول و طراحی
• 49. Policy-Based Access Control (PBAC): معرفی
• 50. Scope-based Authorization در OAuth 2.0
• 51. پیاده‌سازی ساده RBAC در APIها
• 52. پیاده‌سازی ABAC با استفاده از قوانین و Policy Engineها
• 53. مدیریت سطوح دسترسی (Permissions)
• 54. Contextual Authorization: استفاده از اطلاعات محیطی
• 55. Delegation of Authority در APIها
• 56. Gatekeepers و Micro-Authorization Services
• 57. Access Control Lists (ACLs) و کاربرد آن‌ها
• 58. Deny-by-default vs. Allow-by-default
• 59. مدیریت و ذخیره‌سازی اطلاعات مجوز
• 60. طراحی Endpointها برای کنترل دسترسی
• 61. OWASP API Security Top 10: معرفی
• 62. Broken Object Level Authorization (BOLA) / IDOR
• 63. Broken User Authentication
• 64. Excessive Data Exposure
• 65. Lack of Resources & Rate Limiting
• 66. Broken Function Level Authorization
• 67. Mass Assignment
• 68. Security Misconfiguration
• 69. Improper Inventory Management
• 70. Unrestricted Access to Sensitive Business Flows
• 71. Server-Side Request Forgery (SSRF) در API
• 72. Denial of Service (DoS) و Distributed DoS (DDoS) Protection
• 73. API Gateway و نقش آن در امنیت
• 74. Web Application Firewall (WAF) و API Security Gateway
• 75. Input Validation و Sanitize کردن داده‌ها
• 76. طراحی امن API (Security by Design)
• 77. مدیریت رازها (Secrets Management) در توسعه API
• 78. مدیریت کلیدهای رمزنگاری
• 79. Rate Limiting و Throttling برای محافظت از API
• 80. Cross-Origin Resource Sharing (CORS) و تنظیمات امنیتی آن
• 81. Versioning API و اثر آن بر امنیت
• 82. استفاده از Sandboxها و محیط‌های تست امن
• 83. تست نفوذ (Penetration Testing) برای APIها
• 84. Fuzzing و تست خودکار امنیت API
• 85. API Security Observability: Monitoring و Logging
• 86. Auditing و ثبت رویدادهای امنیتی در API
• 87. Alerting و واکنش به حوادث امنیتی
• 88. Governance و Policy Enforcement در API
• 89. Serverless Functions و امنیت API
• 90. GraphQL APIs و ملاحظات امنیتی خاص آن
• 91. رعایت مقررات (Compliance) در امنیت API (GDPR, CCPA, HIPAA)
• 92. استانداردهای صنعتی و گواهینامه‌ها
• 93. مدیریت چرخه عمر امنیت API (API Security Lifecycle)
• 94. مفهوم Zero Trust در امنیت API
• 95. هوش مصنوعی و یادگیری ماشین در تشخیص ناهنجاری‌های API
• 96. بلاکچین و Decentralized Identity در احراز هویت API
• 97. FIDO (Fast IDentity Online) و احراز هویت بدون رمز عبور
• 98. API Security در محیط‌های Edge و IoT
• 99. آینده امنیت API: چالش‌ها و فرصت‌ها
• 100. جمع‌بندی دوره و منابع برای مطالعه بیشتر