Müşteri hesabında sipariş ve faturaları güvenle eşlemek
Sipariş görünümünü ve fatura erişimini kaynak ve yetki bağlarıyla planlayın. Somut bir örnek, doğrudan erişimi ve şirket değişimini gösterir.
Müşteri hesabındaki sipariş listesi, yalnızca oturum açan kişinin seçili şirket kapsamında erişebildiği işlemleri göstermelidir. Fatura için belgeye ve kaynağına doğru eşleme de gerekir. İndirme düğmesinin görünmesi bu görevi tek başına çözmez.
Önce veri kapsamını belirleyin
Shopify, sipariş geçmişini ve şirket konumlarını hesap işlevleri olarak gösterir. Bundan, her müşteri hesabının bütün işletme yönetim yazılımı (ERP) siparişlerini ve fatura dosyalarını içerdiği sonucu çıkmaz. Uygulamanızda hangi dönemden hangi siparişlerin dahil edildiğini ve faturaları hangi sistemin sağladığını belirtin. İçe aktarılmış sipariş görünürken belgesi henüz eksik olabilir.
Siparişi, şirket hesabını ve fatura referansını açıkça ilişkilendirin. Benzer belge numarası veya aynı şirket adı güvenilir eşleme değildir. Bir siparişin birden fazla belgesi olabilir; arayüz gerçekten sağlanan belgeleri anlaşılır adlarla göstermelidir.
Somut bir erişim senaryosu kararlaştırın
Aşağıdaki tablonun bütün kimlikleri ve sonuçları, planlanan portal için varsayımsal gereksinimlerdir. Yapılmış bir testi veya ürünün varsayılan ayarını anlatmaz.
Başlangıç durumu | Erişim isteği | Beklenen sonuç |
|---|---|---|
Test hesabı |
| Sipariş verisi doğru şirket kapsamında görünür |
Aynı hesabın | Eşlenmiş | Tam olarak bu belge alınabilir |
Test hesabı yalnızca |
| Başka şirkete ait dosya ve korunan belge ayrıntıları verilmez |
| Fatura alanını açma | Belge şu an kullanılamaz; fatura uydurulmaz |
Kontrol, uygun test hesapları ve test belgeleriyle yapılır. Başka şirkete ait fatura listede hiç görünmese de dosyaya doğrudan erişimi kapsamalıdır.
Her erişim isteğinde yetkiyi uygulayın
OWASP, istenen nesne üzerinde yetki kontrolü ister. Bu nedenle sunucuda kullanıcıyı, izin verilen şirket bağını, belge eşlemesini ve istenen eylemi kontrol edin. Tarayıcı filtresi veya tahmin edilmesi zor kimlik bu kararın yerini tutmaz. Dosyaya ulaşma yolu da erişim kuralına uygun olmalıdır.
Yetki değiştikten sonraki yeni erişim isteğinde ne olacağını belirleyin. İzin verilen bir şirket değişiminde, önceki şirketin önbellekteki siparişleri yeni seçilen şirketin verileri gibi görünmemelidir. Bu nedenle değişimden sonra listeleri, ayrıntı görünümlerini ve indirme bağlantılarını da kontrol edin.
Eksik veriyi anlaşılır gösterin
Boş sipariş geçmişiyle erişilemeyen kaynağı ayırın. “Fatura henüz kullanılamıyor” ve “erişim yok” da farklı durumlardır; gösterim kararlaştırılan gizliliği korumalıdır. Portal görünümü ödeme durumu uydurmamalı veya eksik dosyayı işlemin doğrulandığı şeklinde ele almamalıdır.
Deneme sonunda izin verilen görünümler ve engellenen erişimler belirlenmiş olur. İşlevin müşteri hesabına güvenilir biçimde eklenmesi için sipariş bağı, belge kaynağı ve erişim birlikte uyumlu olmalıdır.
Kaynaklar
Devamını okuyun
Tüm yazılar
ASES ile E-ticaret
Online mağazalar, pazar yerleri ve B2B portalları