Araç yetkisi ve ajan sınırları

Teori: model istekçidir, yetkili değil#

Araç çağrısı arayüzü modele bir yetki vermez; bir istek biçimi verir. Yetki, isteği alan tarafın neyi kabul ettiğiyle tanımlanır. Bu ayrım pratikte kolayca bulanıklaşır, çünkü aracı tek bir servis hesabıyla ve geniş kapsamla bağlamak en az dirençli yoldur. O noktada ajanın yetkisi, onu kullanan en yetkisiz kullanıcının yetkisi değil, servis hesabının yetkisidir.

Bunun adı karıştırılmış vekil sorunudur: geniş yetkili bir bileşen, yetkisiz birinin girdisiyle yönlendirilebiliyorsa o girdi fiilen yetki kazanmış olur. Enjeksiyon bu sorunun model katmanındaki en kolay tetikleyicisidir. Çözüm istemde değil kimliktedir: kullanıcı adına yürüyen çağrılar kullanıcının kimliğiyle yapılır, arka plan işleri ise ayrı ve dar kapsamlı bir kimlik kullanır.

İkinci yapısal nokta parametrelerin kaynağıdır. Model bir kayıt kimliğini serbestçe üretebiliyorsa, yetki kontrolü yalnızca o kimliğin kullanıcıya ait olup olmadığına bakan bir ek kontrole kalır. Daha sağlam kalıp, kritik parametrelerin yalnızca aynı oturumdaki bir okuma çağrısının sonucundan gelebilmesidir. Böylece model neyin üzerinde işlem yapacağını uydurmaz, yalnızca kendisine gösterilenler arasından seçer.

Sözleşmenin yetki alanları#

Geri alınamaz eylemleri ayırmak#

• Eylemi iki araca bölün: taslak üreten çağrı ile taslağı yürüten çağrı. Yürütme aracı yalnızca taslak kimliğini alsın, taslağın içeriğini yeniden yazamasın.
• Onay ekranında görünen özeti taslağın kendisinden türetin. Modelin "bu güvenli bir işlem" açıklaması onay metni değildir; onay, yürütülecek veriyi göstermelidir.
• Her yürütmeye bir idempotens anahtarı bağlayın; aynı taslağın tekrar yürütülmesi tek etki üretsin. Yeniden deneme mantığı olan her ajan bunu gerektirir.
• Yürütmeden önce prova sonucu üretin: kaç kayıt etkilenecek, hangi alanlar değişecek. Belirlediğiniz eşik aşılırsa çağrı insan onayına düşsün.
• Geri alma yolunu araçla birlikte tasarlayın; geri alınamayan her eylemin karşılığında tanımlı en az bir telafi işlemi bulunsun.

Sözleşme örneği#

{
  "arac": "musteri_kaydi_guncelle",
  "kimlik": "cagiran_kullanici",
  "kapsam": {
    "kiraci": "cagiran_kullanicinin_kiracisi",
    "alanlar": ["adres", "telefon"]
  },
  "parametreler": {
    "kayit_kimligi": { "tip": "uuid", "kaynak": "ayni_oturumdaki_okuma_sonucu" },
    "alan": { "tip": "secim", "degerler": ["adres", "telefon"] },
    "deger": { "tip": "metin", "en_fazla_karakter": 200 }
  },
  "geri_alinabilir": true,
  "onay": "gerekmez",
  "butce": { "oturum_basina_cagri": 5 },
  "kayit": ["istek_kimligi", "kullanici", "kayit_kimligi", "alan", "onceki_deger_ozeti"]
}

Karar: işlevi bozmadan daraltma#

1. 1Gerçek kullanımı çıkar

   Kayıtlardan çağrıları dökün; her araç için fiilen doldurulan parametre alanlarını ve aldıkları değer kümesini listeleyin. Hiç kullanılmamış alanlar en ucuz kazanımdır.

2. 2Sözleşmeyi kullanıma indir

   Kullanılmayan alanları çıkarın, serbest metin alanlarını gözlenen değer kümesine çevirin, kritik kimlikleri okuma sonucuna bağlayın.

3. 3Gölge modda çalıştır

   Yeni sözleşmeyi reddetmeden açın; yalnızca "bu çağrı reddedilecekti" kaydı üretsin. Üretim işlevi bozulmadan daraltmanın maliyetini görürsünüz.

4. 4Reddedilecekleri ayır

   Her kaydı iki kutuya koyun: gerçek işlev, yani sözleşme genişletilecek; ve gereksiz genişlik, yani kapatılacak. Kutulama kararını tek kişi değil, aracın sahibi ve güvenlik birlikte versin.

5. 5Zorunlu kıl ve geri bildir

   Reddi devreye alın. Ret mesajı modele hangi alanın neden kabul edilmediğini ve kabul edilen biçimi söylesin ki model kendini düzeltebilsin; sessiz ret, ajanı döngüye sokar.

Sık yapılan hata#

Yaygın hata, ajana kolaylık olsun diye tek ve geniş yetkili bir servis hesabı vermek, sonra bu genişliği istem metnindeki kurallarla dengelemeye çalışmaktır. Bu düzenlemede kontrol, saldırganın yazabildiği düzlemdedir; yetki ise onun yararlanabileceği düzlemde. İkinci hata, araç sayısını artırırken sözleşmeleri gözden geçirmemektir: her yeni araç yalnızca yeni bir yetenek değil, tehdit haritasında yeni bir kenardır.