المصادقة والتحقق من الطلبات

• المصادقة تسأل: من أنت؟ — عادةً عبر ملف جلسة أو رمز Bearer في ترويسة Authorization. وغياب بيانات الاعتماد أو عدم صلاحيتها ← 401.
• التفويض يسأل: ما المسموح لك؟ مستخدم معروف لكنه غير مسموح له ← 403. وكثير من الواجهات تعيد 404 بدلاً من ذلك لتجنب كشف وجود مورد يخص شخصاً آخر.
• التحقق: يجب أن يفحص الخادم كل حقل — الإلزامية والنوع والطول والنطاق والصيغة — وأن يرد برمز 4xx واضح (غالباً 400 أو 422) دون تغيير أي شيء.

يستحق الوصول عبر الحسابات اختبارات خاصة به: سجّل الدخول بصفة المستخدم أ، ثم حاول قراءة طلب المستخدم ب أو تغييره بتعديل المعرّف في العنوان. وهذه الفئة من الأخطاء (تُسمى غالباً IDOR) شائعة وخطيرة. ولا تختبرها إلا على أنظمة مصرّح لك باختبارها.

طلب لتحديث طلب شراء يأتي من مستخدم مسجّل الدخول لا يملك ذلك الطلب. ما الاستجابات المقبولة؟ اختر كل ما ينطبق.