[nightmaar]

1132 + 1 = 1133

Tytuł: Bezpieczeństwo aplikacji webowych
Autor: Michał Sajdak i inni
Gatunek: informatyka
Ocena: ★★★★★★☆☆☆☆

Książka Sekuraka to kolejna cegłówka, ale tym razem rozmiar ma znaczenie, bo spośród prezentowanych do tej pory pozycji, z tej dowiedziałem się chyba najwięcej. Mam jednak wrażenie, że dałoby się ją sensownie skrócić, a niepotrzebnie prezentowany jest cały przekrój zagadnień: od aspektów prawnych przez podatności w aplikacjach webowych aż po programy „bug bounty” – po prostu skupiłbym się na tym, co jest w środku. Pod względem struktury książka to właściwie zbiór artykułów napisanych przez różne osoby, dlatego poziom rozdziałów, zarówno pod względem zaawansowania jak i samych tekstów, jest dosyć zróżnicowany. Na plus mogę zaliczyć to, że praktycznie wszystkie rozdziały posiadają bogatą bibliografię. Brakowało mi trochę narracji, która spajałaby książkę w całość, bo bez tego niektóre rozdziały wydają się być dosyć sztucznie wepchnięte, czasem w losowej kolejności. Przykładowo, najpierw mamy niskopoziomową analizę ramek HTTP/2, by za kilkanaście stron czytać o zakładkach narzędzi Developer Tools z Chrome’a.

Przy okazji recenzji poprzedniej książki o tematyce bezpieczeństwa aplikacji webowych narzekałem na niską liczbę opisywanych podatności – tutaj sytuacja ma się znacznie lepiej. Znajdziemy oczywiście klasyczne problemy jak XSS, SQL Injection czy CSRF, ale również rzadziej opisywane problemy jak SSTI (wstrzykiwanie kodu do szablonów) i zagrożenia dotyczące protokołu WebSocket. Chwali się, że książka zawiera masę rozdziałów powiązanych z uwierzytelnianiem i autoryzacją, również pod kątem REST API. Trochę zaskoczyło mnie to, że nie ma osobnego rozdziału opisującego ataki DoS (czy nawet DDoS), ale trochę na ten temat pojawia się między wierszami. Pewnym nieporozumieniem są dla mnie rozdziały o problemach deserializacji – jest to jedyny temat, który doczekał się rozdziałów w zależności od wykorzystywanego środowiska (PHP, Python, .NET i Java), a właściwie tylko przy okazji .NETa opisane zostały problemy z formatami, które są powszechnie używane w sieci (JSON i XML), bo w reszcie przypadków tematyka dotyczyła deserializacji danych binarnych. Niestety, przykłady w tej książce mocno związane są z wybranymi technologiami i jeśli ktoś nie wstrzeli się z np. silnikiem szablonów, to może skończyć z uczuciem niedosytu.

W gruncie rzeczy mogę tę pozycję polecić osobom, które są zainteresowane tematyką bezpieczeństwa aplikacji webowych. Więcej wyciągną z niej zapewne bardziej początkujący, ale podejrzewam, że zaawansowani również znajdą kilka przydatnych wskazówek. Jeszcze bardziej polecałbym tę książkę, gdyby była trochę krótsza i lepiej zredagowana - może doczekamy się drugiego wydania, bo oczami wyobraźni już widzę tłumaczenie na język angielski i podbój świata.

Wpis dodany za pomocą tego skryptu

#bookmeter #readdev #ksiazki #programowanie #naukaprogramowania #czytajzwykopem

[nightmaar]

Wołam (do kolejnych wpisów z serii pod tagiem #readdev też): @grubypajonk @joolekk @tronez @Watomil @GoldenTeeth @jascen @Re_mi @nupeq @weezyxboss @mlodedrwale @Crispo @thority @nopilpl

[Dbzdur]

@nightmaar: jak ty czytasz, że "łykasz" tak szybko takie techniczne książki?

[nightmaar]

@Dbzdur: Czy ja wiem czy tak szybko? Ta zajęła mi 3 tygodnie.

[Dbzdur]

@nightmaar: Czytasz to jak zwykłą powieść? Ja jak czytam techniczną książke to zajmuje mi to o wiele dłużej i nie wiem czy robię coś nie tak

[I.....y]

@nightmaar kurde, myślałem po okładce że jakieś sci-fi. xD

[nightmaar]

@Dbzdur: Wiesz co, gdyby nie to, że zrobiłem sobie postanowienie, że te książki przeczytam i je opiszę, to możliwe, że bym odpadł, a tak to mam dodatkową motywację, bo te książki nie są "lekkie" i raczej mam reżim, że codziennie coś czytam, nawet po kilka stron.

[nightmaar]

@fren-: Nie, to licznik z #bookmeter