کتاب صوتی Security Best Practices for Clean Code

🎓 دوره آموزشی جامع

📚 اطلاعات دوره

عنوان دوره: دوره Security Best Practices for Clean Code

موضوع کلی: برنامه نویسی

موضوع میانی: کدنویسی تمیز (Clean Code)

📋 سرفصل‌های دوره

• 1. مقدمه‌ای بر کدنویسی تمیز و امن
• 2. ارتباط بین کیفیت کد و امنیت نرم‌افزار
• 3. اصول کدنویسی تمیز (Clean Code)
• 4. اصول کدنویسی امن (Secure Coding)
• 5. مثلث امنیت: محرمانگی، یکپارچگی، در دسترس بودن (CIA Triad)
• 6. تفکر مانند یک مهاجم: شناخت بردارهای حمله
• 7. اصل کمترین امتیاز (Principle of Least Privilege)
• 8. طراحی امن به صورت پیش‌فرض (Secure by Design)
• 9. دفاع در عمق (Defense in Depth)
• 10. آشنایی با تهدیدات رایج (OWASP Top 10)
• 11. مدل‌سازی تهدید (Threat Modeling) برای توسعه‌دهندگان
• 12. اهمیت نام‌گذاری معنادار در زمینه امنیت
• 13. توابع کوچک و تک‌مسئولیتی برای کاهش سطح حمله
• 14. کامنت‌نویسی تمیز و ملاحظات امنیتی آن
• 15. پرهیز از افشای اطلاعات در کد و کامنت‌ها
• 16. اعتبارسنجی ورودی‌ها: هرگز به ورودی کاربر اعتماد نکنید
• 17. تفاوت اعتبارسنجی (Validation)، پاک‌سازی (Sanitization) و رمزگذاری (Encoding)
• 18. اعتبارسنجی سمت سرور در مقابل اعتبارسنجی سمت کلاینت
• 19. استفاده از لیست سفید (Whitelist) به جای لیست سیاه (Blacklist)
• 20. اعتبارسنجی نوع، طول و فرمت داده‌ها
• 21. جلوگیری از حملات تزریق SQL (SQL Injection)
• 22. استفاده از Parameterized Queries و Prepared Statements
• 23. جلوگیری از حملات اسکریپت‌نویسی بین سایتی (XSS)
• 24. رمزگذاری خروجی (Output Encoding) برای جلوگیری از XSS
• 25. جلوگیری از حملات تزریق دستور سیستم‌عامل (OS Command Injection)
• 26. جلوگیری از حملات تزریق NoSQL و LDAP
• 27. مدیریت امن آپلود فایل‌ها
• 28. جلوگیری از حملات پیمایش مسیر (Path Traversal)
• 29. جلوگیری از جعل درخواست بین سایتی (CSRF) با استفاده از توکن‌ها
• 30. جلوگیری از آسیب‌پذیری‌های XML External Entity (XXE)
• 31. مقدمه‌ای بر رمزنگاری برای توسعه‌دهندگان
• 32. الگوریتم‌های هشینگ امن و کاربرد آن‌ها
• 33. ذخیره‌سازی امن رمزهای عبور با استفاده از Salt و Pepper
• 34. رمزنگاری متقارن در مقابل نامتقارن
• 35. پیاده‌سازی صحیح TLS/SSL برای حفاظت از داده‌ها در حال انتقال
• 36. رمزنگاری داده‌ها در حالت سکون (Data at Rest)
• 37. مدیریت امن کلیدهای رمزنگاری
• 38. هرگز اسرار (Secrets) را در کد هاردکد نکنید
• 39. استفاده از متغیرهای محیطی برای مدیریت اسرار
• 40. آشنایی با ابزارهای مدیریت اسرار (مانند Vault یا KMS)
• 41. مدیریت امن اطلاعات حساس و اطلاعات هویتی (PII)
• 42. اصل کمینه‌سازی داده‌ها (Data Minimization)
• 43. مدیریت امن حافظه و جلوگیری از نشت اطلاعات
• 44. جلوگیری از آسیب‌پذیری‌های عدم امنیت در واگردانی (Insecure Deserialization)
• 45. پاک‌سازی امن داده‌ها پس از استفاده
• 46. تفاوت احراز هویت (Authentication) و مجوزدهی (Authorization)
• 47. طراحی سیاست‌های امنیتی قوی برای رمز عبور
• 48. پیاده‌سازی احراز هویت چندمرحله‌ای (MFA)
• 49. طراحی امن فرآیندهای بازیابی حساب و «فراموشی رمز عبور»
• 50. مدیریت امن نشست‌ها (Session Management)
• 51. جلوگیری از حملات تثبیت نشست (Session Fixation) و ربودن نشست (Session Hijacking)
• 52. استفاده و مدیریت امن توکن‌های وب JSON (JWT)
• 53. امنیت کلیدهای API (API Keys)
• 54. پیاده‌سازی کنترل دسترسی مبتنی بر نقش (RBAC)
• 55. پیاده‌سازی کنترل دسترسی مبتنی بر ویژگی (ABAC)
• 56. جلوگیری از ارجاع مستقیم ناامن به اشیاء (IDOR)
• 57. جلوگیری از نقص در کنترل دسترسی سطح تابع (Missing Function Level Access Control)
• 58. مدیریت امن کوکی‌ها (Secure Cookie Flags)
• 59. جلوگیری از حملات Clickjacking
• 60. ثبت وقایع مربوط به احراز هویت و کنترل دسترسی
• 61. اصل مسئولیت واحد (SRP) و تاثیر آن بر امنیت
• 62. اصل باز/بسته (OCP) در طراحی امن
• 63. مدیریت خطاها و استثنائات به روش امن
• 64. جلوگیری از نشت اطلاعات حساس در پیام‌های خطا
• 65. اصول ثبت وقایع (Logging) امن
• 66. اطلاعاتی که هرگز نباید در لاگ‌ها ثبت شوند
• 67. اصل پیش‌فرض‌های امن (Fail-Safe Defaults)
• 68. کاهش پیچیدگی سایکلوماتیک برای بازبینی امنیتی ساده‌تر
• 69. کپسوله‌سازی و پنهان‌سازی اطلاعات برای افزایش امنیت
• 70. وراثت و پلی‌مورفیسم: پیامدهای امنیتی
• 71. جلوگیری از شرایط رقابتی (Race Conditions) در کد
• 72. اعتبارسنجی و پاک‌سازی داده‌ها در مرزهای اعتماد (Trust Boundaries)
• 73. استفاده از الگوهای طراحی برای امنیت (مثلاً Secure Factory)
• 74. امنیت در طراحی کلاس‌ها و اشیاء
• 75. جداسازی کد از داده‌ها و پیکربندی
• 76. امنیت زنجیره تأمین نرم‌افزار (Software Supply Chain Security)
• 77. مدیریت امن وابستگی‌های شخص ثالث (Third-Party Dependencies)
• 78. استفاده از ابزارهای تحلیل ترکیب نرم‌افزار (SCA)
• 79. پیکربندی امن محیط‌های توسعه، تست و تولید
• 80. جداسازی پیکربندی از کد
• 81. بهترین شیوه‌های امنیتی برای Docker و کانتینرها
• 82. امنیت در زیرساخت به عنوان کد (Infrastructure as Code)
• 83. اصول طراحی API امن: محدودسازی نرخ و throttling
• 84. امنیت هدرهای HTTP
• 85. پیاده‌سازی سیاست امنیت محتوا (Content Security Policy - CSP)
• 86. مقدمه‌ای بر تست امنیت استاتیک اپلیکیشن (SAST)
• 87. مقدمه‌ای بر تست امنیت داینامیک اپلیکیشن (DAST)
• 88. مقدمه‌ای بر تست امنیت تعاملی اپلیکیشن (IAST)
• 89. ادغام ابزارهای امنیتی در خط لوله CI/CD (DevSecOps)
• 90. نوشتن تست‌های واحد (Unit Tests) با رویکرد امنیتی
• 91. بازبینی کد امن (Secure Code Review)
• 92. تست نفوذپذیری و نقش توسعه‌دهنده
• 93. تست فازی (Fuzz Testing) برای یافتن باگ‌های غیرمنتظره
• 94. امنیت و پیامدهای آن در معماری میکروسرویس
• 95. رسیدگی به هشدارهای امنیتی وابستگی‌ها (Dependency Vulnerability Alerts)
• 96. واکنش به حوادث امنیتی برای توسعه‌دهندگان
• 97. ایجاد فرهنگ امنیت در تیم توسعه
• 98. درک انطباق با مقررات (Compliance) مانند GDPR و HIPAA
• 99. امنیت در حافظه پنهان (Caching)
• 100. یادگیری مداوم و به‌روز ماندن در مورد تهدیدات جدید