Web Guvenligi: XSS, CSRF, CORS | YZ Canlı Backend Dersi

Derse Hazır mısınız?

Satır satır kod yazılışını izleyin ve her satırın açıklamasını dinleyin.

Terminal Çıktısı Hazır

Kod çalıştırıldığında çıktı burada görünecek...

Web Önizleme

HTML çıktı oluştuğunda önizleme burada açılır.

Satır Satır Anlatım

Dersin öğretmen rehberi

Web Guvenligi: XSS, CSRF, CORS dersinde isteğin veya verinin backend içinde hangi adımlardan geçtiğini, her kod parçasının görevini ve gözlenebilir çıktıyı birlikte inceleyeceğiz.

Bu dersin hedefleri

Ders başlığındaki backend kavramını çalışan kodun girdisi ve çıktısıyla ilişkilendirmek.
Bir satırın önceki adımdan aldığı veriyi ve sonraki adıma hazırladığı sonucu takip etmek.
Hata ayıklama, test ve temel güvenlik kontrollerini akışın doğal parçası olarak uygulamak.

Web Guvenligi: XSS, CSRF, CORS beginner 25 dk çalışma

Bu dersin ana sorusu: Web Guvenligi: XSS, CSRF, CORS konusunu çalışan bir backend örneği üzerinden anlamak.

Öğrenme özeti: Web Guvenligi: XSS, CSRF, CORS dersinin temel fikri, backend kodunu yalnızca çalıştırmak değil; girdinin nasıl işlendiğini, neden o sıranın seçildiğini ve sonucun nasıl doğrulandığını görebilmektir.

Öğrenme rotası ve transfer görevi

Problemi tanı: Backend örneğinin girdisini, görevini ve beklenen çıktısını bir cümleyle yazın.
Akışı izle: Kodun veriyi hangi sırayla aldığını, dönüştürdüğünü ve döndürdüğünü satır satır takip edin.
Güvenli değiştir: Küçük bir değişiklik yapın; normal, hatalı ve sınır girdilerle sonucu test edin.

Kendin dene: Örneğin ana akışını bozmadan yeni bir girdi alanı veya hata senaryosu ekleyin. Değişen satırları, beklenen sonucu ve güvenlik kontrolünü yazılı olarak açıklayın.

Kavram sözlüğü ve sık karıştırılanlar

Request: İstemcinin backend sunucusundan bir işlem veya veri istediği iletişimdir.
Response: Backendin isteğe karşı döndürdüğü durum, başlık ve veri sonucudur.
Validation: Girdinin beklenen türde, biçimde ve iş kuralına uygun olup olmadığını kontrol etmektir.
Log: Çalışma sırasında ne olduğunu izlemek için kaydedilen tanı bilgisidir.

Sık karıştırılanlar: Backend kodu yalnızca ekrana çıktı basmaz; veri alır, iş kuralı uygular, hata yönetir ve istemciyle sözleşme kurar. 200 veya başarılı görünen bir yanıt, iş kuralının doğru uygulandığını tek başına kanıtlamaz.

Nasıl çalışacağız: Önce backend örneğinin hangi girdiyi aldığını belirleyin. Sonra kodun veriyi hangi sırayla işlediğini, hangi noktada karar verdiğini ve istemciye/terminale ne döndürdüğünü satır satır takip edin.

Hata ayıklama: Hatayı yeniden üretin; istek girdisini, logu, dosya-satır bilgisini ve beklenen çıktıyı kaydedin. Akışı küçük parçalara ayırıp tek değişiklikle tekrar deneyin.

Test yaklaşımı: Normal verinin yanında boş, hatalı biçimli, sınır ve yetkisiz girdileri de deneyin. Hem status/çıktıyı hem de veri değişikliğini doğrulayın.

Güvenlik: Kullanıcı girdisini doğrulayın, parametreli sorgu kullanın, kimlik doğrulama ve yetkilendirmeyi ayırın; parola, token ve kişisel verileri koda veya loga yazmayın.

Sürdürülebilirlik: İş kurallarını controller, servis ve veri erişimi gibi sorumluluklara ayırın; anlamlı isimler, küçük fonksiyonlar, ortak hata yanıtı ve test edilebilir sınırlar kullanın.

Ders özeti: Web Guvenligi: XSS, CSRF, CORS konusunu; girdi, backend işlemi, veri akışı, hata durumu, güvenlik kontrolü ve çıktı arasındaki ilişkiyle kendi cümlelerinizle açıklayın.

// Guvensiz: element.innerHTML=kullaniciGirdisi; // Guvenli: element.textContent=kullaniciGirdisi;

XSS Onleme — Web Guvenligi: XSS, CSRF, CORS içindeki bu kod satırı backend kodunun bir parçasıdır; ilgili girdiyi alır, dönüştürür ve sonraki adıma aktarır.

Öğretmen açıklaması

Bu adımı hiç bilmeyen biri için okuyalım: Web Guvenligi: XSS, CSRF, CORS içindeki bu kod satırı, sunucu tarafı kodun girdiyi işlemesi, doğru çıktıyı üretmesi ve güvenli biçimde çalışması içinde bu örneğin ilgili görevini üstlenir. Satırın rolü: Web Guvenligi: XSS, CSRF, CORS içindeki bu kod satırı satırının backend görevi. Sözdizimi açısından Web Guvenligi: XSS, CSRF, CORS içindeki bu kod satırı backend kodunun bir parçasıdır; ilgili girdiyi alır, dönüştürür ve sonraki adıma aktarır. Çalışma sırasında backend çalışma zamanı bu kod parçasını işler ve sunucu tarafı kodun girdiyi işlemesi, doğru çıktıyı üretmesi ve güvenli biçimde çalışması için sonraki adıma taşınacak ara sonucu üretir. Gözlenebilir ara sonuç şudur: Bu adımın sonunda Web Guvenligi: XSS, CSRF, CORS içindeki bu kod satırı için gerekli ara durum oluşur; işlenmiş veri, terminal çıktısı veya istemciye dönen backend yanıtı gözlemlenebilir hale gelir. Bir sonraki satır bu sonucu kullanır. Kod parçaları: // Guvensiz: element.innerHTML=kullaniciGirdisi; // Guvenli: element.textContent=kullaniciGirdisi;: Bu satır backend akışının bir parçasını yürütür. Bu satırın neden burada olduğunu anlamak için girdiyi ve bir sonraki satıra taşınan değeri birlikte kontrol edin.

Önce Web Guvenligi: XSS, CSRF, CORS içindeki bu kod satırı parçasının hangi girdiyi aldığını ve Web Guvenligi: XSS, CSRF, CORS içindeki görevini söyleyin.
Sonra sözdizimini parçalara ayırın; hangi anahtar kelime, değişken veya parametrenin neyi belirlediğini gösterin.
Çalışma zamanında verinin bu satırdan önceki ve sonraki halini karşılaştırın; terminal/response sonucunu kontrol edin.
Aynı fikri boş, hatalı veya farklı bir değerle deneyin; hata oluşursa mesajı okuyup tek değişiklikle yeniden test edin.

Yaygın hata: Bu adımda en yaygın hata, Web Guvenligi: XSS, CSRF, CORS içindeki bu kod satırı parçasını Web Guvenligi: XSS, CSRF, CORS bağlamından koparıp yalnızca ezberlemektir. Önce girdiyi doğrulayın, sonra beklenen çıktıyı küçük bir testle karşılaştırın.

Şimdi sen dene: Web Guvenligi: XSS, CSRF, CORS içindeki bu kod satırı üzerinde küçük bir değişiklik yapın; sunucu tarafı kodun girdiyi işlemesi, doğru çıktıyı üretmesi ve güvenli biçimde çalışması akışında hangi çıktının değişmesini beklediğinizi yazın, sonra normal ve hatalı bir girdiye karşı çalıştırın.

Zihinsel model ve benzetme

Zihninde canlandır: Bir değer isimlendi; sonraki satırlar bu isimle ona ulaşacak.

İşaretlerin anlamı

= Sağdaki değeri soldaki isme bağlar.

; İfadenin bittiğini bildirir (dile göre zorunlu olabilir).

. Bir şeyin içindeki şeye ulaşır.

Başka nasıl çözülürdü?

Değişmez değerler için const/final/readonly gibi niteleyiciler, yanlışlıkla değişilmeyi engeller.

Sık yapılan hata

Satır sonu noktalı virgül ya da kapanış işareti unutulur

Belirti: Syntax/Parse error — dosya hiç çalışmaz.

Neden: Çoğu dil ifadeleri ; ile, blokları } ile kapatır.

Çözüm: Derleyici mesajındaki satır numarasına ve bir önceki satıra bak.

Bu satırı hiç bilmeyen biri için parçalayalım

Satırın görevi: Web Guvenligi: XSS, CSRF, CORS içindeki bu kod satırı satırının backend görevi

Kavram: Web Guvenligi: XSS, CSRF, CORS

Web Guvenligi: XSS, CSRF, CORS içindeki bu kod satırı satırını yalnızca sözdizimiyle değil, sunucu tarafı kodun girdiyi işlemesi, doğru çıktıyı üretmesi ve güvenli biçimde çalışması içindeki göreviyle okuyun.

Blok kapsamı: Web Guvenligi: XSS, CSRF, CORS içindeki bu kod satırı satırının bulunduğu backend akışındaki kapsamı ve sonraki adıma taşıdığı sonucu belirler.

Neden şimdi: Bu parça, sunucu tarafı kodun girdiyi işlemesi, doğru çıktıyı üretmesi ve güvenli biçimde çalışması akışında sonraki adımın ihtiyaç duyduğu girdiyi hazırlamak için şimdi kuruluyor.

Kod etiketlerini tek tek incele

// Guvensiz: element.innerHTML=kullaniciGirdisi; // Guvenli: element.textContent=kullaniciGirdisi; kod parçası

Ne yapar? Bu satır backend akışının bir parçasını yürütür.

Neden burada? Önceki girdiyi sonraki adıma taşımak için bu konumda bulunur.

Silinirse: İlgili ara sonuç veya çıktı oluşmaz.

Amaç Web Guvenligi: XSS, CSRF, CORS içindeki bu kod satırı, sunucu tarafı kodun girdiyi işlemesi, doğru çıktıyı üretmesi ve güvenli biçimde çalışması içinde bu örneğin ilgili görevini üstlenir.

Nasıl Çalışır backend çalışma zamanı bu kod parçasını işler ve sunucu tarafı kodun girdiyi işlemesi, doğru çıktıyı üretmesi ve güvenli biçimde çalışması için sonraki adıma taşınacak ara sonucu üretir.

Sözdizimi Detayı innerHTML yerine textContent ile XSS engelleme.

Akış Şeması (Flowchart)

AST (Abstract Syntax Tree)

{
    "type": "ExpressionStatement",
    "expression": "XSS Onleme"
}

Değişiklikler (Diff)

+ Eklendi:
+ // Guvensiz: element.innerHTML=kullaniciGirdisi; // Guvenli: element.textContent=kullaniciGirdisi;

Akıllı İpuçları (Adaptive Hints)

Tetikleyici: SyntaxError
Sozdizimini kontrol edin.

İpucu innerHTML yerine textContent ile XSS engelleme.

Yaygın Hata Girdiyi doğrulamadan bu satırın ürettiği sonucu doğru kabul etmek.

Ek Açıklama Bu adımı hiç bilmeyen biri için okuyalım: Web Guvenligi: XSS, CSRF, CORS içindeki bu kod satırı, sunucu tarafı kodun girdiyi işlemesi, doğru çıktıyı üretmesi ve güvenli biçimde çalışması içinde bu örneğin ilgili görevini üstlenir. Satırın rolü: Web Guvenligi: XSS, CSRF, CORS içindeki bu kod satırı satırının backend görevi. Sözdizimi açısından Web Guvenligi: XSS, CSRF, CORS içindeki bu kod satırı backend kodunun bir parçasıdır; ilgili girdiyi alır, dönüştürür ve sonraki adıma aktarır. Çalışma sırasında backend çalışma zamanı bu kod parçasını işler ve sunucu tarafı kodun girdiyi işlemesi, doğru çıktıyı üretmesi ve güvenli biçimde çalışması için sonraki adıma taşınacak ara sonucu üretir. Gözlenebilir ara sonuç şudur: Bu adımın sonunda Web Guvenligi: XSS, CSRF, CORS içindeki bu kod satırı için gerekli ara durum oluşur; işlenmiş veri, terminal çıktısı veya istemciye dönen backend yanıtı gözlemlenebilir hale gelir. Bir sonraki satır bu sonucu kullanır. Kod parçaları: // Guvensiz: element.innerHTML=kullaniciGirdisi; // Guvenli: element.textContent=kullaniciGirdisi;: Bu satır backend akışının bir parçasını yürütür. Bu satırın neden burada olduğunu anlamak için girdiyi ve bir sonraki satıra taşınan değeri birlikte kontrol edin.

fetch("/api/islem",{method:"POST",headers:{"X-CSRF-Token":csrfToken},credentials:"include"});

CSRF Token — Web Guvenligi: XSS, CSRF, CORS içindeki bu kod satırı backend kodunun bir parçasıdır; ilgili girdiyi alır, dönüştürür ve sonraki adıma aktarır.

Öğretmen açıklaması

Bu adımı hiç bilmeyen biri için okuyalım: Web Guvenligi: XSS, CSRF, CORS içindeki bu kod satırı, sunucu tarafı kodun girdiyi işlemesi, doğru çıktıyı üretmesi ve güvenli biçimde çalışması içinde bu örneğin ilgili görevini üstlenir. Satırın rolü: Web Guvenligi: XSS, CSRF, CORS içindeki bu kod satırı satırının backend görevi. Sözdizimi açısından Web Guvenligi: XSS, CSRF, CORS içindeki bu kod satırı backend kodunun bir parçasıdır; ilgili girdiyi alır, dönüştürür ve sonraki adıma aktarır. Çalışma sırasında backend çalışma zamanı bu kod parçasını işler ve sunucu tarafı kodun girdiyi işlemesi, doğru çıktıyı üretmesi ve güvenli biçimde çalışması için sonraki adıma taşınacak ara sonucu üretir. Gözlenebilir ara sonuç şudur: Bu adımın sonunda Web Guvenligi: XSS, CSRF, CORS içindeki bu kod satırı için gerekli ara durum oluşur; işlenmiş veri, terminal çıktısı veya istemciye dönen backend yanıtı gözlemlenebilir hale gelir. Bir sonraki satır bu sonucu kullanır. Kod parçaları: fetch("/api/islem",{method:"POST",headers:{"X-CSRF-Token":csrfToken},credentials:"include"});: Bu satır backend akışının bir parçasını yürütür. Bu satırın neden burada olduğunu anlamak için girdiyi ve bir sonraki satıra taşınan değeri birlikte kontrol edin.

Önce Web Guvenligi: XSS, CSRF, CORS içindeki bu kod satırı parçasının hangi girdiyi aldığını ve Web Guvenligi: XSS, CSRF, CORS içindeki görevini söyleyin.
Sonra sözdizimini parçalara ayırın; hangi anahtar kelime, değişken veya parametrenin neyi belirlediğini gösterin.
Çalışma zamanında verinin bu satırdan önceki ve sonraki halini karşılaştırın; terminal/response sonucunu kontrol edin.
Aynı fikri boş, hatalı veya farklı bir değerle deneyin; hata oluşursa mesajı okuyup tek değişiklikle yeniden test edin.

İşaretlerin anlamı

( Çağrıyı veya gruplamayı başlatır.

) Çağrıyı veya gruplamayı bitirir.

{ Bir blok kapsamı açar.

} Açılan bloğu kapatır.

; İfadenin bittiğini bildirir (dile göre zorunlu olabilir).

Sık yapılan hata

Satır sonu noktalı virgül ya da kapanış işareti unutulur

Belirti: Syntax/Parse error — dosya hiç çalışmaz.

Neden: Çoğu dil ifadeleri ; ile, blokları } ile kapatır.

Çözüm: Derleyici mesajındaki satır numarasına ve bir önceki satıra bak.

Bu satırı hiç bilmeyen biri için parçalayalım

Satırın görevi: Web Guvenligi: XSS, CSRF, CORS içindeki bu kod satırı satırının backend görevi

Kavram: Web Guvenligi: XSS, CSRF, CORS

Blok kapsamı: Web Guvenligi: XSS, CSRF, CORS içindeki bu kod satırı satırının bulunduğu backend akışındaki kapsamı ve sonraki adıma taşıdığı sonucu belirler.

Kod etiketlerini tek tek incele

fetch("/api/islem",{method:"POST",headers:{"X-CSRF-Token":csrfToken},credentials:"include"}); kod parçası

Ne yapar? Bu satır backend akışının bir parçasını yürütür.

Neden burada? Önceki girdiyi sonraki adıma taşımak için bu konumda bulunur.

Silinirse: İlgili ara sonuç veya çıktı oluşmaz.

Sözdizimi Detayı Sunucu uretimli token ile istek dogrulama.

Akış Şeması (Flowchart)

AST (Abstract Syntax Tree)

{
    "type": "ExpressionStatement",
    "expression": "CSRF Token"
}

Değişiklikler (Diff)

+ Eklendi:
+ fetch("/api/islem",{method:"POST",headers:{"X-CSRF-Token":csrfToken},credentials:"include"});

Akıllı İpuçları (Adaptive Hints)

Tetikleyici: SyntaxError
Sozdizimini kontrol edin.

İpucu Sunucu uretimli token ile istek dogrulama.

Yaygın Hata Girdiyi doğrulamadan bu satırın ürettiği sonucu doğru kabul etmek.

Ek Açıklama Bu adımı hiç bilmeyen biri için okuyalım: Web Guvenligi: XSS, CSRF, CORS içindeki bu kod satırı, sunucu tarafı kodun girdiyi işlemesi, doğru çıktıyı üretmesi ve güvenli biçimde çalışması içinde bu örneğin ilgili görevini üstlenir. Satırın rolü: Web Guvenligi: XSS, CSRF, CORS içindeki bu kod satırı satırının backend görevi. Sözdizimi açısından Web Guvenligi: XSS, CSRF, CORS içindeki bu kod satırı backend kodunun bir parçasıdır; ilgili girdiyi alır, dönüştürür ve sonraki adıma aktarır. Çalışma sırasında backend çalışma zamanı bu kod parçasını işler ve sunucu tarafı kodun girdiyi işlemesi, doğru çıktıyı üretmesi ve güvenli biçimde çalışması için sonraki adıma taşınacak ara sonucu üretir. Gözlenebilir ara sonuç şudur: Bu adımın sonunda Web Guvenligi: XSS, CSRF, CORS içindeki bu kod satırı için gerekli ara durum oluşur; işlenmiş veri, terminal çıktısı veya istemciye dönen backend yanıtı gözlemlenebilir hale gelir. Bir sonraki satır bu sonucu kullanır. Kod parçaları: fetch("/api/islem",{method:"POST",headers:{"X-CSRF-Token":csrfToken},credentials:"include"});: Bu satır backend akışının bir parçasını yürütür. Bu satırın neden burada olduğunu anlamak için girdiyi ve bir sonraki satıra taşınan değeri birlikte kontrol edin.

// Sunucu: Access-Control-Allow-Origin: https://guvenilir-site.com

CORS — Web Guvenligi: XSS, CSRF, CORS içindeki bu kod satırı backend kodunun bir parçasıdır; ilgili girdiyi alır, dönüştürür ve sonraki adıma aktarır.

Öğretmen açıklaması

Bu adımı hiç bilmeyen biri için okuyalım: Web Guvenligi: XSS, CSRF, CORS içindeki bu kod satırı, sunucu tarafı kodun girdiyi işlemesi, doğru çıktıyı üretmesi ve güvenli biçimde çalışması içinde bu örneğin ilgili görevini üstlenir. Satırın rolü: Web Guvenligi: XSS, CSRF, CORS içindeki bu kod satırı satırının backend görevi. Sözdizimi açısından Web Guvenligi: XSS, CSRF, CORS içindeki bu kod satırı backend kodunun bir parçasıdır; ilgili girdiyi alır, dönüştürür ve sonraki adıma aktarır. Çalışma sırasında backend çalışma zamanı bu kod parçasını işler ve sunucu tarafı kodun girdiyi işlemesi, doğru çıktıyı üretmesi ve güvenli biçimde çalışması için sonraki adıma taşınacak ara sonucu üretir. Gözlenebilir ara sonuç şudur: Bu adımın sonunda Web Guvenligi: XSS, CSRF, CORS içindeki bu kod satırı için gerekli ara durum oluşur; işlenmiş veri, terminal çıktısı veya istemciye dönen backend yanıtı gözlemlenebilir hale gelir. Bir sonraki satır bu sonucu kullanır. Kod parçaları: // Sunucu: Access-Control-Allow-Origin: https://guvenilir-site.com: Bu satır backend akışının bir parçasını yürütür. Bu satırın neden burada olduğunu anlamak için girdiyi ve bir sonraki satıra taşınan değeri birlikte kontrol edin.

Önce Web Guvenligi: XSS, CSRF, CORS içindeki bu kod satırı parçasının hangi girdiyi aldığını ve Web Guvenligi: XSS, CSRF, CORS içindeki görevini söyleyin.
Sonra sözdizimini parçalara ayırın; hangi anahtar kelime, değişken veya parametrenin neyi belirlediğini gösterin.
Çalışma zamanında verinin bu satırdan önceki ve sonraki halini karşılaştırın; terminal/response sonucunu kontrol edin.
Aynı fikri boş, hatalı veya farklı bir değerle deneyin; hata oluşursa mesajı okuyup tek değişiklikle yeniden test edin.

İşaretlerin anlamı

. Bir şeyin içindeki şeye ulaşır.

Bu satırı hiç bilmeyen biri için parçalayalım

Satırın görevi: Web Guvenligi: XSS, CSRF, CORS içindeki bu kod satırı satırının backend görevi

Kavram: Web Guvenligi: XSS, CSRF, CORS

Blok kapsamı: Web Guvenligi: XSS, CSRF, CORS içindeki bu kod satırı satırının bulunduğu backend akışındaki kapsamı ve sonraki adıma taşıdığı sonucu belirler.

Kod etiketlerini tek tek incele

// Sunucu: Access-Control-Allow-Origin: https://guvenilir-site.com kod parçası

Ne yapar? Bu satır backend akışının bir parçasını yürütür.

Neden burada? Önceki girdiyi sonraki adıma taşımak için bu konumda bulunur.

Silinirse: İlgili ara sonuç veya çıktı oluşmaz.

Sözdizimi Detayı Farkli kaynaklardan isteklere izin verme.

Akış Şeması (Flowchart)

AST (Abstract Syntax Tree)

{
    "type": "ExpressionStatement",
    "expression": "CORS"
}

Değişiklikler (Diff)

+ Eklendi:
+ // Sunucu: Access-Control-Allow-Origin: https://guvenilir-site.com

Akıllı İpuçları (Adaptive Hints)

Tetikleyici: SyntaxError
Sozdizimini kontrol edin.

İpucu Farkli kaynaklardan isteklere izin verme.

Yaygın Hata Girdiyi doğrulamadan bu satırın ürettiği sonucu doğru kabul etmek.

Ek Açıklama Bu adımı hiç bilmeyen biri için okuyalım: Web Guvenligi: XSS, CSRF, CORS içindeki bu kod satırı, sunucu tarafı kodun girdiyi işlemesi, doğru çıktıyı üretmesi ve güvenli biçimde çalışması içinde bu örneğin ilgili görevini üstlenir. Satırın rolü: Web Guvenligi: XSS, CSRF, CORS içindeki bu kod satırı satırının backend görevi. Sözdizimi açısından Web Guvenligi: XSS, CSRF, CORS içindeki bu kod satırı backend kodunun bir parçasıdır; ilgili girdiyi alır, dönüştürür ve sonraki adıma aktarır. Çalışma sırasında backend çalışma zamanı bu kod parçasını işler ve sunucu tarafı kodun girdiyi işlemesi, doğru çıktıyı üretmesi ve güvenli biçimde çalışması için sonraki adıma taşınacak ara sonucu üretir. Gözlenebilir ara sonuç şudur: Bu adımın sonunda Web Guvenligi: XSS, CSRF, CORS içindeki bu kod satırı için gerekli ara durum oluşur; işlenmiş veri, terminal çıktısı veya istemciye dönen backend yanıtı gözlemlenebilir hale gelir. Bir sonraki satır bu sonucu kullanır. Kod parçaları: // Sunucu: Access-Control-Allow-Origin: https://guvenilir-site.com: Bu satır backend akışının bir parçasını yürütür. Bu satırın neden burada olduğunu anlamak için girdiyi ve bir sonraki satıra taşınan değeri birlikte kontrol edin.

Derse Hazır mısınız?

Seslendirme Ayarları