Netsis Dokümantasyonu

Güvenlik

NetOpenX REST servisi şirket verisine yazabilen, ham SQL çalıştırabilen bir servistir. İnternete doğrudan açmayın.

Ağ

  • Servisi yalnızca onu kullanan uygulama sunucularının erişebileceği bir ağ bölümünde tutun (güvenlik duvarı izin listesi).
  • Dışarıdan erişim gerekiyorsa önüne kimlik doğrulama ve TLS yapan bir ters vekil (reverse proxy) / API ağ geçidi koyun; yalnızca kullandığınız uçları yönlendirin.
  • Servis varsayılan olarak HTTP çalışır; ağ üzerinde parola ve token düz metin gider.

Anonim uçlar

public/*, HealthCheck, help ve helpinfo token istemez. Bunlardan bazıları bilgi sızdırır:

  • public/AuthorizedBranches kullanıcıların şube yetkilerini,
  • public/CompanyList şirket listesini,
  • public/GetLicInfo/KeyInfo lisans bilgisini,
  • help tüm API yüzeyini gösterir.

Ters vekilde bu uçları dış erişime kapatın.

Ham SQL uçları

api/v2/Queries ve api/v2/Queries/NetRS gönderilen SQL'i çalıştırır; insert, update, delete de dahildir. Token'ı ele geçiren biri veritabanında her şeyi yapabilir.

  • Uygulamalarınızda kullanmayın.
  • Ters vekilde engelleyin.

Filtre enjeksiyonu

q (ve C#'ta SelectFilter.Filter) SQL WHERE parçası olarak işlenir. Kullanıcı girdisini ham koymak SQL enjeksiyonuna açıktır. Kolon adlarını izin listesinden seçin, değerleri kaçırın ve tipini doğrulayın (Sorgulama).

Yama seviyesi

Üçüncü taraf bir kaynak, NetOpenX REST token ucunda kimlik doğrulamasız SQL enjeksiyonu bildirmiştir. Bu bilgi Logo dokümanında yoktur; etkilenen sürümler ve yama doğrulanmamıştır. Sunucunuzun sürümünü (public/Version) Logo'dan güncel güvenlik duyurularıyla karşılaştırın ve servisi ağ düzeyinde koruyun.

Kimlik bilgileri

  • Örnek kodlardaki kullanıcılar (sa/sapass, NETSIS/NET1, Admin/Admin) yalnızca örnektir; üretimde kullanmayın.
  • REST için ayrı, yalnızca gereken modüllere yetkili bir Netsis kullanıcısı açın.
  • Veritabanı kullanıcısının (TEMELSET) şifresini boş bırakmayın.
  • Kimlik bilgilerini kaynak koda, depoya, CI değişkenlerine düz metin koymayın; örnek projelerdeki "Beni hatırla" ayarı bilgileri düz metin saklar.

Yıkıcı işlemler

Silme, kod değiştirme, e-belge gönderme, toplu MRP gibi işlemleri (liste) yalnızca açıkça tanımlı ve yetkilendirilmiş akışlardan çağırın; her biri için kayıt (audit log) tutun.