เมื่อพบเหตุผิดปกติ ระบบต้องมีบันทึกและการแจ้งเตือนที่ช่วยสืบสวนได้ จึงพิจารณาว่า เว็บแอปพลิเคชันต้องตรวจสอบสิทธิ์ของผู้ใช้ในการเข้าถึงทรัพยากรต่าง ๆ ระหว่างการร้องขออย่างมีประสิทธิภาพ หลักการใดเหมาะสม
กตรวจสอบ Role ของผู้ใช้ (Role-Based Access Control - RBAC) โดยเก็บ Role และ Permission ในเซสชัน
ขกำหนดสิทธิ์ตามประเภททรัพยากรเพียงอย่างเดียว โดยไม่ผูกกับบทบาทหรือคุณลักษณะของผู้ใช้
คตรวจสอบชื่อผู้ใช้และรหัสผ่านทุกครั้งจาก Database โดยไม่ต้องพิจารณานโยบาย บทบาท หรือความเสี่ยงด้านข้อมูลเพิ่มเติม
งตรวจสอบ Attribute ของผู้ใช้ (Attribute-Based Access Control - ABAC) โดยอนุญาต/ปฏิเสธตามนโยบายที่เก็บไว้
เฉลยอธิบาย
RBAC เป็นวิธีที่ทั่วไปและมีประสิทธิภาพ เก็บ Role ของผู้ใช้ (เช่น Admin, User, Guest) ในเซสชัน เมื่อร้องขอ Resource ก็ตรวจสอบ Role ก่อนอนุญาต ไม่ต้องดึง Database ทุกครั้ง ตัวเลือก B ผิดเพราะประสิทธิภาพแย่ ตัวเลือก C ผิดเพราะมีความซับซ้อนมากกว่าที่ต้องการ ตัวเลือก D ผิดเพราะเสี่ยงด้านความปลอดภัย ฐานความปลอดภัยปัจจุบัน: OWASP Top 10:2025 —