أمان التطبيق
الدرس 18 من 26 في دورة «البرمجة بالإحساس». مجاني، مع رسوم متحركة واختبار.
الخطأ 1: المفتاح في الكود
الذكاء الاصطناعي يكتب كودًا يعمل، لكنه ليس آمنًا دائمًا. مثال هذا الدرس: صنعت مساعدًا للواجبات بالذكاء الاصطناعي لطلاب صفك. في الرسم أخطاء شائعة: علامة خطأ حمراء وبجانبها الإصلاح بعلامة صح. الخطأ 1: مفتاح API مدفوع للذكاء الاصطناعي في الواجهة أو في مستودع عام. الروبوتات تفحص GitHub باستمرار وتجد المفاتيح بسرعة. تسرّب المفتاح؟ ألغِه فورًا من لوحة الخدمة وأنشئ مفتاحًا جديدًا.
الخطآن 2 و3: أبواب مفتوحة
الخطأ 2: قاعدة بيانات دون قواعد وصول، مثل RLS من درس قواعد البيانات. عندها يستطيع أي شخص تنزيل بيانات كل الطلاب. الخطأ 3: لوحة الإدارة، أي صفحة التحكم بالموقع، مخفية فقط بعدم إظهار زرها. لكن يمكن كتابة العنوان /admin يدويًا. التحقق «هل هذا مدير فعلًا؟» يجب أن يكون على الخادم مع كل طلب، لا في الواجهة فقط.
الخطأ 4: الثقة بالمتصفح
الخطأ 4: الثقة بما يرسله المتصفح. كل ما في الواجهة موجود على حاسوب المستخدم. عبر أدوات المطوّر (المفتاح F12) يمكنه تغيير أي طلب: السعر، رقمه id، دور «مدير». القاعدة: الخادم نفسه يتحقق من مرسل الطلب وهل يحق له ذلك، ويحسب الأسعار والنقاط بنفسه. في الرسم القرار للخادم لا للمتصفح.
الخطأ 5: لا حدود
الخطأ 5: لا توجد حدود. كل سؤال لمساعد الذكاء الاصطناعي يكلّفك مالًا، وقد يطرح بوت آلاف الأسئلة في ليلة. حد المعدل (rate limit) يحدد عدد الطلبات المسموح لمستخدم واحد في الدقيقة، والباقي يتلقى «انتظر». مثال: 20 سؤالًا في الدقيقة لكل طالب تكفي وتزيد. وحيث تسمح خدمة الذكاء الاصطناعي، ضع أيضًا حدًا للإنفاق في لوحتها.
الخطأ 6: مكتبات مثقوبة
الخطأ 6: تبعيات مثقوبة. التبعيات مكتبات الآخرين التي ينزّلها الأمر npm install (السطر الثاني في الرسم). في الإصدارات القديمة تُكتشف ثغرات، أي فتحات للاختراق، لذا حدّثها. استخدم حزمًا معروفة. الفخ: أحيانًا يخترع الذكاء الاصطناعي اسم حزمة غير موجودة، فيسجّل مخترقون هذه الأسماء بكود ضار. حزمة غير مألوفة؟ تأكد أنها حقيقية ومنتشرة.
البيانات الشخصية والمراجعة
البيانات الشخصية هي كل ما يكشف هوية شخص، مثل الاسم والبريد والهاتف. اجمع فقط ما لا يعمل التطبيق دونه: مساعد الواجبات يكفيه البريد. اكتب سياسة خصوصية قصيرة: ماذا تجمع ولماذا. قبل الإطلاق اطلب من الوكيل: «راجع أمان المشروع وفق هذه القائمة». لكن تحقق بنفسك من جوابه «كل شيء تمام»، مارًّا على الرسم.
اختبر نفسك
- وصل مفتاح API الذكاء الاصطناعي إلى مستودع عام. ماذا تفعل أولًا؟
الإجابة الصحيحة: إلغاء المفتاح من اللوحة وإنشاء مفتاح جديد. Git يتذكر السجل، وربما نسخت الروبوتات المفتاح بالفعل. وحده الإلغاء يجعل المفتاح القديم بلا فائدة. - وصل السعر في طلب من المتصفح. هل تثق به؟
الإجابة الصحيحة: لا، يجب أن يحسب الخادم السعر بنفسه. الواجهة تعمل على حاسوب المستخدم، ويمكنه تغيير أي طلب. الـ https يحمي الطريق لا أمانة المرسل. - لماذا يحتاج مساعد الذكاء الاصطناعي إلى حد المعدل؟
الإجابة الصحيحة: حتى لا يرسل بوت آلاف الطلبات المدفوعة. كل طلب للذكاء الاصطناعي يكلّف مالًا. حد المعدل يمنع مستخدمًا أو بوتًا من حرق ميزانيتك.