Segurança web
O curso trata de três ataques web e de onde a OWASP os classifica: injeção de SQL e XSS em Injection, CSRF em Broken Access Control. Ele monta uma injeção de SQL numa tabela descartável e mostra os padrões de consulta parametrizada que este app já usa. Explica como o Rails checa o token de CSRF, o que acontece quando ele não bate e por que o token é mascarado. Apresenta os três tipos de XSS, compara raw e .html_safe, lê o Content-Security-Policy do app e termina com a revisão de um pull request.
O que você vai aprender
- ✓Como o OWASP Top 10:2025 divide injeção de SQL, XSS e CSRF em duas categorias
- ✓Como a injeção de SQL funciona e como o marcador ? e as condições em hash a evitam
- ✓Como o sanitize_sql_like escapa os curingas do LIKE em termos de busca
- ✓Como o Rails checa o token de CSRF, as estratégias de falha e o mascaramento do token
- ✓XSS armazenado, refletido e baseado em DOM, e como raw e .html_safe pulam o escape
- ✓Como o Content-Security-Policy do app limita scripts com origens permitidas e nonces
Três siglas, duas categorias diferentes da OWASP
"SQLi, CSRF e XSS" num título só parece descrever três ataques da mesma família. O OWASP Top 10:2025, o ranking oficial atual de riscos de segurança em aplicações web, diz outra coisa. Injeção de SQL e XSS ficam numa mesma categoria, A05:2025 Injection. A página dela cita as duas: "Injection inclui…
Ler a aula completa grátis →Currículo
7 aulasTrês siglas, duas categorias diferentes da OWASP
Mostra por que a OWASP põe injeção de SQL e XSS em Injection e o CSRF em Broken Access Control.
Injeção SQL: entrada não confiável, executada como comandos
Monta uma consulta vulnerável numa tabela descartável e mostra como o marcador ? põe o valor entre aspas com segurança.
Os padrões de consulta deste app, já seguros
Lê as condições SQL cruas, a consulta de busca e as condições em hash deste app, que tratam valores com segurança.
CSRF, mais a fundo: como a checagem funciona, e quando não bate
Explica como o Rails compara tokens de CSRF, as três estratégias de falha, o mascaramento e os cookies SameSite.
XSS, mais a fundo: tipos de ataque, raw e sanitize
Apresenta XSS armazenado, refletido e baseado em DOM, compara raw e .html_safe e mostra como o app escapa conteúdo.
Defesa em profundidade: o cabeçalho CSP deste app
Lê o Content-Security-Policy do app: origens de script, exceções para WebAssembly nas páginas de aula e nonces.
Juntando tudo: revisando um PR pela lente deste curso
Revisa um pull request de três linhas com injeção de SQL, CSRF desligado e XSS, com um comentário bloqueante para cada.