تأمين الباك إند: أساسيات الحماية من الاختراق

حماية الباك إند من البداية صح
"هو شغال؟ خلاص ما تلمسوش!"
جملة بنسمعها كتير أول ما السيرفر يشتغل من غير Errors
بس خلّيك فاكر دايمًا: شغال ≠ آمن
ممكن يكون الباك إند شغال زي الفل… بس مفتوح على البحري لأي هاكر

تعالى نشوف أهم أساسيات تأمين الباك إند حتى لو المشروع صغير

---

​

Input Validation & Sanitization​

المشكلة
المستخدم يقدر يبعت بيانات فيها كود خبيث زي XSS.
سيناريو واقعي
يوزر يحط <script>alert(1)</script> في فورم والسكريبت يتنفذ عند أي حد يفتح الصفحة
الحل
تتحقق من البيانات وتنضفها قبل ما تخزنها أو تستخدمها.

مثال باستخدام express-validator​

import { body } from "express-validator";

app.post("/login", [
  body("email").isEmail(),
  body("password").isLength({ min: 6 }),
], (req, res) => {
  // logic here
});

استخدم مكتبات زي express-validator أو zod وخلي البيانات دايمًا تحت السيطرة.

---

​

Authentication vs Authorization​

ناس كتير بتلخبط بينهم
سيناريو
يوزر معاه JWT
يحاول يدخل صفحة Admin وهو مش أدمن أصلاً!

الحل الصح

• Authentication: هو مسجل دخول ولا لأ؟
• Authorization: له صلاحية يدخل الصفحة دي ولا لأ؟

اعمل Middleware منفصل لكل واحدة.

const isAdmin = (req, res, next) => {
  if (req.user.role !== "admin") {
    return res.status(403).json({ message: "Access denied" });
  }
  next();
};

---

​

Rate Limiting​

سيناريو خطير
هاكر يعمل Brute Force 1000 محاولة Login في دقيقة واحدة
الحل
تحجيم عدد الطلبات باستخدام express-rate-limit

import rateLimit from "express-rate-limit";

const limiter = rateLimit({
  windowMs: 15 * 60 * 1000,
  max: 100,
});

app.use("/login", limiter);

كده أي هجوم غبي هيتقفل عليه بدري.

---

​

Use HTTPS Only​

سيناريو
السيرفر شغال HTTP .. أي حد على نفس الشبكة يسرق: التوكن - الباسورد - البيانات
الحل

• اشتغل دايمًا بـ HTTPS
• استخدم helmet علشان تأمّن الهيدر

import helmet from "helmet";
app.use(helmet());

موضوع Helmet كبير وهنفصّله في بوست لوحده قريب

---

​

Don’t Expose Secrets​

سيناريو كارثي
حد يفتح GitHub repo ويلاقي:

• JWT_SECRET
• DB_URL
  مكتوبين في الكود

الحل
استخدم ملفات .env

JWT_SECRET=super_secret_key
DB_URL=mongodb://localhost/app
process.env.JWT_SECRET

أي حاجة حساسة = بره الكود.

---

​

Minimal Error Messages​

سيناريو
يوزر يدخل باسورد غلط يطلعله Stack Trace كامل
الحل

• للعميل: رسالة بسيطة
• للسيرفر: التفاصيل في الـ logs

res.status(401).json({
  message: "Invalid credentials"
});

ما تديش الهاكر خريطة السيرفر بإيدك.

---

​

الخلاصة​

حتى لو شغال على مشروع صغير لازم تحط أساسيات الأمان من الأول.
الهاكر:

• مش مستني مشروع ضخم
• ولا شركة عالمية

هو محتاج: ثغرة واحدة بس… ولو بسيطة
أمان الباك إند مش رفاهية… ده أساس.