Sichere Webanwendungen…

...sind nicht ganz einfach zu erstellen. Eine große Hilfe ist jedoch das gleichnamige Buch von Mario Heiderich, Christian Matthies, Johannes Dahse und fukami, erschienen bei Galileo Computing, das ich eben mit großer Begeisterung gelesen habe. Es ist wirklich ansprechend geschrieben und hat eine schöne Narration. Die ersten 400 Seiten hab ich am Stück durchgearbeitet, es war - soweit das bei einem Computerbuch geht - richtig spannend.

Die Autoren geben zunächst eine Einführung in die Problematik anhand einiger konkreter Beispiele. Danach nehmen sie sich die relevanten Bereich einer Webanwendung vor, z.B. Parameterübergabe, Dateiuploads, Formulare, Redirects, Sessions, usw. usf., erklären die Angriffsmuster und geben wertvolle hinweise, wie man diese verhindern kann. Schön ist auch, dass sie nicht mit Einschätzungen sparen, so dass man als Leser ein Gefühl dafür bekommt, was der mögliche Schaden und wie hoch das Angriffsrisiko ist. In den folgenden Kapiteln werden Sicherheitsvorkehrungen während der Test- bzw. Pflege- und Erweiterungsphase besprochen. Das letzte Drittel des Buches beschäftigt sich ausführlich und sehr detailreich mit den einzelnen Angriffstechniken, die man mithilfe zahlreicher Links und bereitgestellter Beispielseiten auch gleich testen kann.

Ich hatte das Gefühl, zur Zielgruppe zu gehören, sowohl vom Vorwissen, das vorausgesetzt wird als auch von den besprochenen Technologien PHP, MySQL und JavaScript her. Das Niveau ist teilweise sehr hoch, aber das hat mich in diesem Fall eher angespornt, mich in die Thematik weiter reinzudenken. Ich fand gut, dass die Trends der Webentwicklung wie z.B. WYSIWYG-Editoren aufgegriffen wurden. Habe mehrere A4-Seiten an Erkenntnissen vollgeschrieben und Antworten auf einige Debatten gefunden, die wir intern auch schon geführt haben. Das einzige, was ich vermisst habe, ist ein Glossar. Es werden doch einige Fachbegriffe und Abkürzungen verwendet, die zwar im zweiten Teil des Buches ausführlich erklärt werden, bei denen mir aber ein Dreizeiler ab und an gut weitergeholfen hätte. Dennoch: Habe mich sehr gefreut, mal wieder ein richtig gutes Entwicklerbuch zu lesen, habe einiges gelernt und vieles wieder aufgefrischt und kann das Buch uneingeschränkt zur Lektüre empfehlen.