فلش‌کارت‌های آموزشی اصول تست برای امنیت (Security) در فرانت‌اند

📚 کتاب آموزشی جامع

📚 اطلاعات کتاب

عنوان کتاب: کتاب اصول تست برای امنیت (Security) در فرانت‌اند

موضوع کلی: برنامه نویسی

موضوع میانی: تست فرانت‌اند

📋 سرفصل‌های کتاب (100 موضوع)

• 1. مقدمه‌ای بر امنیت در فرانت‌اند و اهمیت آن
• 2. چرا تست امنیت فرانت‌اند حیاتی است؟
• 3. مروری بر معماری وب مدرن: کلاینت و سرور
• 4. پروتکل‌های HTTP و HTTPS و نقش آن‌ها در امنیت
• 5. آشنایی با مدل شیءگرای سند (DOM) و ریسک‌های مرتبط
• 6. سیاست همان مبدأ (Same-Origin Policy) چیست؟
• 7. نقش مرورگر به عنوان اولین خط دفاعی
• 8. مفاهیم اساسی تست نرم‌افزار (واحد، یکپارچه‌سازی، سرتاسری)
• 9. نگرش تست امنیت: چگونه مانند یک هکر فکر کنیم؟
• 10. معرفی ۱۰ آسیب‌پذیری برتر OWASP با تمرکز بر فرانت‌اند
• 11. آشنایی با ابزارهای توسعه‌دهنده مرورگر برای تست امنیت
• 12. تحلیل و بررسی هدرهای (Headers) درخواست و پاسخ HTTP
• 13. کوکی‌ها، ذخیره‌سازی محلی و ذخیره‌سازی نشست
• 14. آناتومی یک حمله مبتنی بر فرانت‌اند
• 15. محیط آزمایش: راه‌اندازی یک آزمایشگاه امن برای تست
• 16. مقدمه‌ای جامع بر حملات XSS: بازتابی، ذخیره‌شده و مبتنی بر DOM
• 17. تکنیک‌های تست دستی برای یافتن XSS بازتابی (Reflected XSS)
• 18. شناسایی و تست آسیب‌پذیری XSS ذخیره‌شده (Stored XSS)
• 19. آنالیز کد جاوا اسکریپت برای یافتن XSS مبتنی بر DOM
• 20. ساخت و استفاده از پی‌لودهای (Payloads) مؤثر برای تست XSS
• 21. اعتبارسنجی ورودی (Input Validation) و روش‌های تست آن
• 22. کدگذاری خروجی (Output Encoding) و چگونگی تست اثربخشی آن
• 23. معرفی ابزارهای خودکار اسکن XSS
• 24. سیاست امنیت محتوا (CSP) به عنوان مکانیزم دفاعی در برابر XSS
• 25. تست و ارزیابی اثربخشی قوانین CSP
• 26. مطالعه موردی: تحلیل حملات واقعی XSS
• 27. درک مکانیزم حملات CSRF
• 28. روش‌های تست دستی برای شناسایی آسیب‌پذیری‌های CSRF
• 29. تست توکن‌های ضد CSRF (Anti-CSRF Tokens)
• 30. تست و ارزیابی ویژگی SameSite در کوکی‌ها
• 31. کنترل دسترسی نامطمئن در سمت کلاینت و چرا نباید به آن اعتماد کرد
• 32. شناسایی APIهای ناامن از طریق تحلیل کد فرانت‌اند
• 33. تست ارجاع مستقیم ناامن به اشیاء (IDOR) با دستکاری درخواست‌ها
• 34. تست منطق نمایش نقش‌ها و مجوزها در رابط کاربری
• 35. جستجوی داده‌های حساس (کلیدهای API، توکن‌ها) در کد جاوا اسکریپت
• 36. تست نشت اطلاعات حساس در DOM
• 37. بررسی ذخیره‌سازی محلی و نشست برای داده‌های محافظت‌نشده
• 38. آنالیز فایل‌های Source Map برای کشف اطلاعات محرمانه
• 39. تست رمزنگاری نبودن داده‌ها حین انتقال (HTTP)
• 40. کلیک‌جکینگ (Clickjacking) چیست و چگونه کار می‌کند؟
• 41. تست دستی برای آسیب‌پذیری کلیک‌جکینگ
• 42. تست هدرهای دفاعی: X-Frame-Options و CSP frame-ancestors
• 43. آشنایی با آسیب‌پذیری تغییر مسیر باز (Open Redirect)
• 44. تست منطق تغییر مسیر در کدهای جاوا اسکریپت
• 45. ساخت پی‌لود برای بهره‌برداری از Open Redirect
• 46. امنیت زنجیره تأمین نرم‌افزار: ریسک وابستگی‌های شخص ثالث
• 47. معرفی تحلیل ترکیب نرم‌افزار (SCA)
• 48. استفاده از npm audit و yarn audit برای یافتن آسیب‌پذیری‌ها
• 49. استفاده از ابزارهایی مانند Snyk و Dependabot
• 50. تست آسیب‌پذیری‌های شناخته‌شده در فریمورک‌های رایج (React, Vue, Angular)
• 51. تست امنیت فرم‌های ورود: حملات Brute-force و Credential Stuffing
• 52. توکن‌های وب جیسون (JWT): مفاهیم و بهترین شیوه‌ها
• 53. تست ذخیره‌سازی ناامن JWT در سمت کلاینت
• 54. تست ویژگی‌های امنیتی کوکی‌ها (HttpOnly, Secure, SameSite)
• 55. ارزیابی امنیت فرآیند خروج از حساب کاربری (Logout)
• 56. تست مکانیزم‌های "مرا به خاطر بسپار" (Remember Me)
• 57. مروری عمیق بر دستورالعمل‌های CSP
• 58. استراتژی‌های پیاده‌سازی یک CSP سخت‌گیرانه
• 59. تست روش‌های دور زدن (Bypass) سیاست‌های CSP
• 60. استفاده از گزارش‌های CSP برای شناسایی حملات
• 61. تست هدر Strict-Transport-Security (HSTS) و لیست Preload
• 62. تست هدر X-Content-Type-Options: nosniff
• 63. تست هدر Referrer-Policy برای کنترل نشت اطلاعات
• 64. تست هدر Permissions-Policy برای محدود کردن قابلیت‌های مرورگر
• 65. ارزیابی جامع پیکربندی هدرهای امنیتی یک وب‌سایت
• 66. چالش‌های امنیتی خاص در برنامه‌های تک‌صفحه‌ای (SPAs)
• 67. تست امنیت مسیریابی (Routing) در React, Vue و Angular
• 68. تست امنیت مدیریت وضعیت (State Management) مانند Redux و Vuex
• 69. آشنایی با حملات تزریق قالب در سمت کلاینت (Client-Side Template Injection)
• 70. امنیت در رندرینگ سمت سرور (SSR) و تولید سایت استاتیک (SSG)
• 71. تست امنیت در Progressive Web Apps (PWA)
• 72. تست امنیت Web Workers و Service Workers
• 73. تست سیاست‌های اشتراک منابع متقاطع (CORS)
• 74. تست محدودیت نرخ (Rate Limiting) از دیدگاه کلاینت
• 75. شناسایی و تست نقاط پایانی GraphQL از فرانت‌اند
• 76. مقدمه‌ای بر تست امنیت استاتیک اپلیکیشن (SAST) برای فرانت‌اند
• 77. پیکربندی ESLint با پلاگین‌های امنیتی
• 78. استفاده از ابزارهای SAST تخصصی برای جاوا اسکریپت و تایپ‌اسکریپت
• 79. مقدمه‌ای بر تست امنیت داینامیک اپلیکیشن (DAST)
• 80. استفاده پیشرفته از ابزارهای توسعه‌دهنده مرورگر برای تست داینامیک
• 81. معرفی پروکسی‌های رهگیری: OWASP ZAP و Burp Suite
• 82. پیکربندی و استفاده از OWASP ZAP برای اسکن فرانت‌اند
• 83. تکنیک‌های ضروری Burp Suite برای تست‌کنندگان فرانت‌اند
• 84. ادغام تست امنیت در چرخه عمر توسعه نرم‌افزار (DevSecOps)
• 85. اتوماسیون اسکن وابستگی‌ها در پایپ‌لاین CI/CD
• 86. یکپارچه‌سازی اسکن‌های SAST در فرآیند Code Review
• 87. اجرای خودکار اسکن‌های DAST در محیط‌های آزمایشی
• 88. نوشتن تست‌های واحد (Unit Tests) امنیتی با Jest یا Vitest
• 89. نوشتن تست‌های سرتاسری (E2E Tests) امنیتی با Cypress یا Playwright
• 90. شبیه‌سازی حملات در تست‌های خودکار
• 91. مدیریت و اولویت‌بندی یافته‌های امنیتی خودکار
• 92. استفاده از ابزار Retire.js برای شناسایی کتابخانه‌های آسیب‌پذیر
• 93. معرفی و کاربرد افزونه‌های امنیتی مرورگر
• 94. اسکنرهای آنلاین برای ارزیابی سریع امنیت
• 95. آشنایی با Nuclei و قالب‌های آماده برای تست فرانت‌اند
• 96. ایجاد یک چک‌لیست جامع برای تست امنیت فرانت‌اند
• 97. چگونه یک گزارش آسیب‌پذیری مؤثر و کارآمد بنویسیم
• 98. نهادینه کردن فرهنگ امنیت در تیم‌های فرانت‌اند
• 99. آینده امنیت فرانت‌اند: WebAssembly, Web3 و چالش‌های جدید
• 100. جمع‌بندی دوره، منابع بیشتر و مسیر یادگیری آینده