تأمين الباك إند: أساسيات الحماية من الاختراق

حماية الباك إند من البداية صح 🔐
🚨 "هو شغال؟ خلاص ما تلمسوش!"
جملة بنسمعها كتير أول ما السيرفر يشتغل من غير Errors 😅
بس خلّيك فاكر دايمًا: شغال ≠ آمن ❌
ممكن يكون الباك إند شغال زي الفل… بس مفتوح على البحري لأي هاكر 👨‍💻🔥

تعالى نشوف أهم أساسيات تأمين الباك إند حتى لو المشروع صغير 👇

---

🔐 Input Validation & Sanitization​

🧪 المشكلة
المستخدم يقدر يبعت بيانات فيها كود خبيث زي XSS.
🎯 سيناريو واقعي
يوزر يحط <script>alert(1)</script> في فورم والسكريبت يتنفذ عند أي حد يفتح الصفحة 😱
✅ الحل
تتحقق من البيانات وتنضفها قبل ما تخزنها أو تستخدمها.

💻 مثال باستخدام express-validator​

import { body } from "express-validator";

app.post("/login", [
  body("email").isEmail(),
  body("password").isLength({ min: 6 }),
], (req, res) => {
  // logic here
});

📌 استخدم مكتبات زي express-validator أو zod وخلي البيانات دايمًا تحت السيطرة.

---

🧲 Authentication vs Authorization​

ناس كتير بتلخبط بينهم 👀
🎯 سيناريو
يوزر معاه JWT
يحاول يدخل صفحة Admin وهو مش أدمن أصلاً!

✅ الحل الصح

• Authentication: هو مسجل دخول ولا لأ؟
• Authorization: له صلاحية يدخل الصفحة دي ولا لأ؟

📌 اعمل Middleware منفصل لكل واحدة.

const isAdmin = (req, res, next) => {
  if (req.user.role !== "admin") {
    return res.status(403).json({ message: "Access denied" });
  }
  next();
};

---

⏱️ Rate Limiting​

🎯 سيناريو خطير
هاكر يعمل Brute Force 1000 محاولة Login في دقيقة واحدة 🤯
✅ الحل
تحجيم عدد الطلبات باستخدام express-rate-limit

import rateLimit from "express-rate-limit";

const limiter = rateLimit({
  windowMs: 15 * 60 * 1000,
  max: 100,
});

app.use("/login", limiter);

📌 كده أي هجوم غبي هيتقفل عليه بدري.

---

🔐 Use HTTPS Only​

🎯 سيناريو
السيرفر شغال HTTP .. أي حد على نفس الشبكة يسرق: التوكن - الباسورد - البيانات 😬
✅ الحل

• اشتغل دايمًا بـ HTTPS
• استخدم helmet علشان تأمّن الهيدر

import helmet from "helmet";
app.use(helmet());

📌 موضوع Helmet كبير وهنفصّله في بوست لوحده قريب 🔥

---

🔑 Don’t Expose Secrets​

🎯 سيناريو كارثي
حد يفتح GitHub repo ويلاقي:

• JWT_SECRET
• DB_URL
  مكتوبين في الكود 😐

✅ الحل
استخدم ملفات .env

JWT_SECRET=super_secret_key
DB_URL=mongodb://localhost/app
process.env.JWT_SECRET

📌 أي حاجة حساسة = بره الكود.

---

📜 Minimal Error Messages​

🎯 سيناريو
يوزر يدخل باسورد غلط يطلعله Stack Trace كامل 😱
✅ الحل

• للعميل: رسالة بسيطة
• للسيرفر: التفاصيل في الـ logs

res.status(401).json({
  message: "Invalid credentials"
});

📌 ما تديش الهاكر خريطة السيرفر بإيدك.

---

💭 الخلاصة​

حتى لو شغال على مشروع صغير 👶 لازم تحط أساسيات الأمان من الأول.
الهاكر:

• مش مستني مشروع ضخم
• ولا شركة عالمية

هو محتاج: 👉 ثغرة واحدة بس… ولو بسيطة 😈
🔐 أمان الباك إند مش رفاهية… ده أساس.