Bir PrestaShop modülünü güvenli yapan tek bir fonksiyon yoktur. Güvenlik; veri girişinden yetkilendirmeye, SQL sorgusundan dosya yüklemeye kadar her katmanda aynı disiplinin uygulanmasıdır.
Yayın öncesi 12 kontrol
- Yetki: Back-office controller veya AJAX endpoint'lerinde yalnız “giriş yapılmış” olmasını değil gerekli çalışan yetkisini de kontrol edin.
- CSRF/token: Veri değiştiren her admin işlemini token ile koruyun.
- SQL: Parametreli sorgu kullanın; tablo/sütun adlarını kullanıcı girdisinden doğrudan üretmeyin.
- XSS: Çıktıyı bağlamına göre escape edin. Veritabanından gelmesi veriyi güvenli yapmaz.
- HTML alanları: Gerçekten HTML gerekmeyen alanlarda HTML kabul etmeyin.
- Upload: Sadece uzantıya bakmayın; MIME, boyut, gerçek dosya içeriği ve hedef klasör çalıştırma izinlerini kontrol edin.
- AJAX: Controller endpoint'lerinde kullanıcı rolü, token ve HTTP method kontrolü yapın.
- Webhook: Ödeme/entegrasyon webhook'larında imza doğrulaması ve replay koruması uygulayın.
- Secrets: API anahtarlarını template, log veya istemci JavaScript'ine basmayın.
- Log: Parola, kart, token ve hassas kişisel veriyi loglamayın.
- Uninstall/reset: Silme/sıfırlama işlemlerini ayrı ayrı tasarlayın; yanlışlıkla veri kaybına yol açmayın.
- Fail-safe: Yetki veya doğrulama belirsizse işlemi reddedin.
Ek test senaryoları
Admin olmayan profil, başka mağaza (multistore), boş parametre, beklenmedik array değeri, çok uzun veri, Unicode, çift submit, sayfa yenileme, timeout ve başarısız API dönüşü gibi “normal olmayan” akışları özellikle test edin.