Security/OWASP: Anleitungen und Praxiswissen | Seite 5 | mironsoft Blog
Security/OWASP
-
06.02.2026
Die Wahl des richtigen Nuxt Auth Moduls entscheidet über Wochen an Entwicklungszeit und über die langfristige Wartbarkeit der Authentifizierung. sidebase-nuxt-auth, nuxt-auth-utils und ein selbst gebautes JWT System verfolgen grundlegend unterschiedliche Ansätze, die sich für unterschiedliche Projektgrößen eignen.
-
02.02.2026
DOM basiertes Cross Site Scripting entsteht meist nicht durch fehlende serverseitige Filterung, sondern durch unsichere Zuweisungen an innerHTML, document.write oder eval mitten im Frontend Code. Die Trusted Types API schließt diese Lücke strukturell, indem der Browser gefährliche Zuweisungen an DOM Sinks nur noch akzeptiert, wenn der Wert vorher durch eine definierte Policy in einen speziellen Typ umgewandelt wurde.
-
31.01.2026
Ein API-Token im Klartext in der Datenbank ist eine tickende Zeitbombe. Dieser Leitfaden zeigt das vollständige Muster für API Token Authentifizierung in Symfony, von der sicheren Generierung über gehashte Speicherung bis zu Rotation, Scopes und einem funktionierenden Widerrufsmechanismus.
-
27.01.2026
Ein gültiges TLS-Zertifikat allein schützt einen Magento-Shop nicht vor Clickjacking, MIME-Sniffing oder stillen Datenlecks über den Referrer-Header. Dieser Artikel zeigt praxisnah, wie HSTS, X-Content-Type-Options, Referrer-Policy, Permissions-Policy und CSP frame-ancestors zusammenspielen, wie sich diese Header korrekt am Webserver oder CDN statt im Anwendungscode setzen lassen und wie Scanner wie securityheaders.com die resultierende Sicherheit bewerten.
-
24.01.2026
Der eingebaute HTTP Client von PhpStorm ist fuer viele PHP- und Magento-Entwickler das schnellste Werkzeug, um REST- und GraphQL-Endpunkte direkt aus der IDE heraus zu testen. Wer dabei Admin-Token, API-Keys oder Datenbank-Zugangsdaten in Klartext in die .http-Datei schreibt, riskiert frueher oder spaeter, dass genau diese Werte im naechsten Commit landen. Dieser Artikel zeigt, wie Sie mit http-client.env.json und http-client.private.env.json oeffentliche und private Umgebungsvariablen sauber trennen, damit das ganze Team dieselben Requests nutzen kann, ohne dass jeder dieselben Secrets sieht.
-
22.01.2026
Wer eine Sicherheitslücke in einer fremden Webanwendung findet, steht oft vor einem einfachen, aber ungelösten Problem: An wen meldet man den Fund eigentlich? Ohne eine klare Anlaufstelle enden viele Meldungen im allgemeinen Support-Postfach, werden ignoriert oder landen aus Frustration direkt öffentlich in sozialen Netzwerken. RFC 9116 löst dieses Problem mit einer denkbar einfachen Idee: einer standardisierten Textdatei unter einem festen Pfad, die Kontaktwege, Fristen und Signaturen für verantwortungsvolle Meldungen bereitstellt.
-
20.01.2026
eval in Bash wertet zusammengesetzte Strings ein zweites Mal als Shell Befehl aus, und genau darin liegt das Problem: jede ungeprüfte Eingabe, die in diesen String einfließt, kann beliebige Befehle einschleusen. Dieser Artikel zeigt konkrete Angriffsszenarien mit eval und stellt sichere Alternativen wie Arrays, Namerefs und printf minus v vor, mit denen dieselbe Dynamik ohne Command Injection erreicht wird.
-
18.01.2026
SQL-Injection zählt seit Jahren zu den gefährlichsten Schwachstellen in Webanwendungen und ermöglicht Angreifern das Auslesen, Verändern oder Löschen kompletter Datenbanken über manipulierte Eingabefelder. Dieser Artikel erklärt die Mechanik von klassischer und blinder SQL-Injection, zeigt warum Escaping allein nicht ausreicht und liefert praxisnahe Lösungen mit Prepared Statements, sicheren ORM-Mustern und der Magento ResourceConnection API.
-
15.01.2026
Wer SQL-Queries per String-Konkatenation baut, öffnet eine der ältesten und zugleich gefährlichsten Schwachstellenklassen der Webentwicklung. PDO Prepared Statements trennen Code und Daten strukturell und schließen SQL-Injection unabhängig vom Inhalt der Eingabe aus, vorausgesetzt sie werden korrekt konfiguriert und für Identifier, LIKE-Muster und IN-Listen richtig eingesetzt. Dieser Beitrag zeigt die vollständige technische Umsetzung mit PDO in PHP 8.4.
-
10.01.2026
Ein DNS-Eintrag, der auf einen längst abgeschalteten Cloud-Dienst zeigt, wirkt harmlos, ist aber eine der unterschätztesten Schwachstellen im Web. Wir zeigen, wie Angreifer solche verwaisten CNAME-Einträge übernehmen, welche Cloud-Dienste besonders häufig betroffen sind und wie ein systematisches DNS-Audit die Lücke schließt, bevor sie ausgenutzt wird.