ก่อนส่งมอบ ทีมต้องจัดทำเอกสาร API สถาปัตยกรรม runbook และข้อจำกัด จึงถามว่า เว็บแอปพลิเคชันแสดงข้อมูลส่วนตัวของผู้ใช้ในหน้าโปรไฟล์ที่ URL เป็น /profile/123 นักพัฒนาควรตรวจสอบสิ่งใดเป็นอันดับแรกก่อนแสดงข้อมูลให้ผู้ใช้
กตรวจสอบว่าผู้ใช้ที่ล็อกอินอยู่มีสิทธิ์เข้าถึงข้อมูลของ ID 123 หรือไม่ (Authorization)
ขตรวจสอบว่าตัวเลข 123 ใน URL มีรูปแบบถูกต้องและไม่ใช่อักขระพิเศษ (Input Validation)
คตรวจสอบว่าเซิร์ฟเวอร์มีการเชื่อมต่อฐานข้อมูลที่เสถียรก่อนดึงข้อมูล (Database Connectivity)
งตรวจสอบว่าหน้าโปรไฟล์ถูก Cache ไว้ในระบบหรือไม่เพื่อเพิ่มประสิทธิภาพการแสดงผล (Caching)
เฉลยอธิบาย
การตรวจสอบสิทธิ์การเข้าถึง (Authorization) สุดในการแสดงข้อมูลส่วนตัว เพราะหากไม่มีการตรวจสอบ ผู้ใช้รายอื่นอาจแก้ไขตัวเลขใน URL เพื่อดูข้อมูลของผู้ใช้คนอื่นได้ ซึ่งเป็นช่องโหว่ที่เรียกว่า Insecure Direct Object Reference (IDOR) ถือเป็นความเสี่ยงด้านความปลอดภัยระดับสูงตามมาตรฐาน OWASP Top 10 ฐานความปลอดภัยปัจจุบัน: OWASP Top 10:2025 — https://owasp.org/Top10/