مولّد UUID / ULID

التعامل مع الأسرار بأمان

تعالج أدوات المطوّرين بيانات الاعتماد أكثر مما يتصور الناس، والخطر ليس في الخوارزمية بل في المكان الذي تذهب إليه البيانات. فالتجزئة أحادية الاتجاه وليست تشفيراً، وMD5 وSHA-1 مكسورتان في كل ما يتصل بالأمن، وحتى SHA-256 أداة خاطئة لتخزين كلمات المرور، حيث وُجد bcrypt وscrypt وArgon2 تحديداً ليكونوا بطيئين. وBase64 ترميز لا حماية: أي أحد يستطيع فكّه، فلا تعامله أبداً كتمويه. وJWT يستطيع كل من يحمله أن يقرأه، ولذلك يجب ألا يحتوي حمولته على أسرار أبداً، وفكّ الرمز لا يتحقق من توقيعه، إذ يلزم للتحقق مفتاح. وكل ما في هذا الموقع يعمل محلياً في متصفحك، ولهذا السبب يستطيع التعامل مع الرموز وكلمات المرور بأمان.

أين تنكسر التحويلات بهدوء

معظم أخطاء التحويل لا تتعلق بالصياغة بل بالمعنى. فعمود من الرموز البريدية في ملف CSV يفقد أصفاره البادئة في اللحظة التي يخمّن فيها جدول البيانات أنه رقم؛ ومعرّف طويل يتجاوز دقة الفاصلة العائمة؛ والتواريخ يتغير معناها بحسب ما إذا كان اليوم أولاً أم الشهر أولاً. ومفاتيح JSON غير مرتبة أما المصفوفات فمرتبة، والأداة التي ترتب المفاتيح لا تغيّر شيئاً بينما التي ترتب المصفوفات تغيّر البيانات. وUnicode فخ آخر: فقد يصل النص بترميز UTF-8 أو UTF-16 أو مع علامة ترتيب البايتات، وفاكّ الترميز الذي يخمّن خطأً يحوّل المحارف المشكّلة إلى نص مشوّه. وقبل أن تثق بأي تحويل، افحص الصف الأول والأخير، وكل حقل فيه أصفار بادئة، وكل حقل يحتوي على علامات تنصيص أو فواصل أو أسطر جديدة.