Explain how to prevent common security vulnerabilities in web applications.

Question

Anonymous · Accepted Answer

1. JANGAN PERCAYA INPUT USER (INJECTION & XSS)

Prinsip utamanya sederhana: semua input dari luar itu kotor.

* SQL Injection: Hindari manipulasi query dengan string concatenation. Selalu
   gunakan parameterized queries atau ORM yang matang. Input diperlakukan murni
   sebagai data, bukan perintah SQL yang dieksekusi.

* Cross-Site Scripting (XSS): Pastikan semua data yang di-render ke browser
   sudah di-encode/sanitize sesuai konteksnya. Manfaatkan framework modern
   (React, Vue, dll.) yang punya mekanisme escaping bawaan, dan jangan
   sembarangan bypass (misalnya via dangerouslySetInnerHTML). Pasang juga
   Content Security Policy (CSP) di header HTTP untuk membatasi script eksternal
   yang boleh jalan.

2. AUTENTIKASI & MANAJEMEN SESI

Tujuannya mencegah akun diambil alih atau sesi disusupi.

* Password Hashing: Jangan pernah simpan plaintext atau hash cepat seperti
   MD5/SHA-256. Gunakan algoritma key-stretching seperti bcrypt atau Argon2id
   lengkap dengan salt.

* Cookie yang Aman: Atur atribut cookie sesi ke HttpOnly (biar script frontend
   tidak bisa baca), Secure (hanya lewat HTTPS), dan SameSite=Lax atau Strict
   (untuk mencegah celah CSRF).

* MFA & Revokasi Sesi: Terapkan multi-factor authentication dan pastikan token
   atau session ID di-generate ulang setelah login serta benar-benar di-destroy
   saat user logout.

3. OTORISASI & AKSES DATA (BROKEN ACCESS CONTROL / IDOR)

Banyak bug fatal terjadi bukan karena user lain membobol password, tapi karena
aplikasi lupa memeriksa kepemilikan resource.

* Validasi Server-Side: Jangan cuma sembunyikan tombol di UI. Tiap request ke
   backend wajib mengecek apakah user yang sedang login punya hak akses ke ID
   data tersebut (misal: memeriksa WHERE id = :invoiceId AND user_id =
   :currentUserId).

* Prinsip Least Privilege & Deny by Default: Akses ke endpoint baru harus
   tertutup secara default, kecuali sudah ditentukan izin role atau
   permission-nya lewat middleware/gate authorization.

4. PERMINTAAN ANTAR-DOMAIN (CSRF & SSRF)

* CSRF (Cross-Site Request Forgery): Selain memanfaatkan cookie SameSite,
   sertakan anti-CSRF token untuk request mutasi data (POST, PUT, DELETE).

* SSRF (Server-Side Request Forgery): Kalau backend menerima input URL dari
   user untuk mengambil file/webhook, pasang allowlist domain yang ketat. Blokir
   akses ke IP private internal (127.0.0.1, 10.x.x.x) dan endpoint metadata
   cloud (seperti 169.254.169.254).

5. DEPENDENCY & PIPELINE KEAMANAN (SECURE SDLC)

Aplikasi aman tidak cuma soal kode yang kita tulis sendiri, tapi juga ekosistem
di sekitarnya.

* Software Composition Analysis (SCA): Pasang tool otomatis seperti Dependabot
   atau Snyk di CI/CD untuk mendeteksi library usang yang punya CVE aktif.

* Audit & Monitoring: Simpan log untuk event-event kritikal (gagal login
   berulang, perubahan role, error validasi), tapi pastikan data sensitif
   (password, credit card, token) disensor sebelum masuk ke log agregator.

Anonymous · Answer

Firstly, download the jar or library from the official website, don't down load
them from unknown website.

Second, choose the version that used widely and doesn't have the vulnerabilities
flag.

Third, if the jar or library version is too old, upgrade them timely.

Four, Use the security tool scan you code base regularly

Explain how to prevent common security vulnerabilities in web applications.

Practice this question with AI

Go Premium

Community Answers

Unlock Full Access

Unlock Full Access

Practice More Questions