ඇපීඅයි, දත්ත සමුදාය, හෝ UI සීමා වලදී සිදුවන ආරක්ෂක දෝෂ බොහෝවිට සරල වැරදි වලින් උදාවෙයි. නවතම සොෆ්ට්වෙයා ඉංජිනේරුවන් දැන් "type-driven security" කියන අදහස භාවිතා කරමින්, ටයිප් පද්ධතියේ ශක්තියෙන් මෙම වැරදි ලේසිව හඳුනාගන්නා ලදී.
මෙම ක්රමය තේරුම් ගැනීමට, පළමුව "DTO" (Data Transfer Object) සහ "branded types" වැනි විශේෂිත ටයිප් සංකල්ප භාවිතා කරයි. උදාහරණයක් ලෙස, දත්ත සමුදායේ පරිශීලක වාර්තාවක් UserRow ලෙස නිර්වචනය කර, එය සෘජුව HTTP ප්රතිචාරයට යැවීමට නොහැකිව, PublicUserDto මගින් පමණක් පාරිභෝගිකයාට ලබාදේ. මෙය දත්ත රහස්යතාවය රැක ගැනීමට සහ ලොග් කිරීමේදී අනවශ්ය තොරතුරු අනාවරණය නොවීමට උපකාරී වේ.
තවත් ප්රයෝජනවත් උදාහරණයක් ලෙස, දෙකම string වැනි දත්ත වර්ගයක් වූ "tenantId" සහ "userId" අතර ගැටළුවක් ඇති විය හැක. "branded types" භාවිතා කරමින්, TenantId සහ UserId යන විශේෂිත ටයිප් නිර්වචනය කර, සම්පූර්ණ කේතයේ අහඹු මිශ්රණය වැළැක්විය හැක.
- DTO භාවිතයෙන් සංවේදී තීරුවල ප්රකාශය අවහිර කරයි.
- Branded types මගින් අදාළ හැඳුනුම්පත් අතර අමුතු වෙනස තහවුරු කරයි.
- Authorization තොරතුරු (Viewer, ProjectEditor) ටයිප් මට්ටමින් නියෝජනය කර, API අතුරුමුහුනත පැහැදිලි කරයි.
- SQL පරාමිතීන් භාවිතා කිරීමේ වැදගත්කම තවත් මතක තබා ගන්න.
ශ්රී ලංකාවට ඇති වැදගත්කම
ශ්රී ලංකාවේ තරුණ සංවර්ධකයන්, විශ්වවිද්යාල සිසුන්, සහ තාක්ෂණික ව්යාපාර සඳහා මෙම නව ආරක්ෂක ආකාරය විශාල අවස්ථාවක් වේ. ටයිප් පද්ධති භාවිතයෙන් දෝෂය කම්පයිලර් මට්ටමේ පසුබැසීම නිසා, නිෂ්පාදන පරිසරයේ සිදුවන ආරක්ෂක සිදුවීම් ගණන අඩු වේ. එමඟින්:
- ඉගෙනුම් කාලය කෙටි කර, නව ආරක්ෂක සංකල්ප ඉක්මනින් ග්රහණය කර ගත හැක.
- පැරණි ආරක්ෂක පරීක්ෂණ (penetration testing) හි ගාස්තුව අඩු කරයි.
- ලොකල් ව්යාපාරික ඇප්ලිකේෂන් වල දත්ත රහස්යතාවය ඉහළ යයි, ගනුදෙනුකරුවන්ගේ විශ්වාසය වැඩි වේ.
ඉදිරියේදී, ශ්රී ලංකාවේ තාක්ෂණික පාඨමාලාවලට TypeScript සහ type-driven security පන්ති එකතු කිරීමෙන්, ජාතික මට්ටමේ සයිබර් ආරක්ෂක හැකියාවන් වැඩි වනු ඇත.
අවසානයේ, ටයිප් පද්ධති ආරක්ෂාව සම්පූර්ණ විසඳුමක් නොවෙයි, නමුත් එය "defense-in-depth" මට්ටමේ වැදගත් කොටසක්. නිවැරදි කේත ලිවීම, රන්ටයිම් පරීක්ෂණ, සහ පාරිභෝගික තහවුරු කිරීම සමඟ එකතු කරගත් විට, OWASP අවදානම් බොහෝ අඩු කළ හැක.
