Software- und Cybersecurity-Architekt

Was ein Code-Review aufdeckt.

Ein API-Code-Review vom Befund bis zur Korrektur.

Arbeitsprobe ansehen

Webentwicklung
Anwendungen
Automatisierung
MQL4/MQL5-Entwicklung

Berichte bleiben im eigenen Workspace

Fiktiver API-Review GET /api/reports/{reportId}

Workspace A

Leser

Workspace B

Bericht

Workspace
nicht geprüft

Wer nur nach der Berichts-ID sucht, kann Berichte aus einem anderen Workspace abrufen.

Befund im Beispiel

Vorgeschlagene Korrektur

Vor der Ausgabe prüfen, ob der Bericht zum Workspace der anfragenden Person gehört.

Den Workspace anhand der Mitgliedschaft des angemeldeten Kontos bestimmen, Leserechte für Berichte verlangen und sowohl nach der Workspace-ID als auch nach der Berichts-ID filtern.

Vorgeschlagene Abfrage ansehen

const workspace = requireWorkspacePermission(
  session,
  "reports:read"
);

const report = await reports.findOne({
  id: reportId,
  workspaceId: workspace.id
});

if (!report) return notFound();

Regressionstests

Ein Konto mit Leserechten ruft einen Bericht aus dem eigenen Workspace ab.200 OK
Ein Konto mit Leserechten fordert einen Bericht aus einem anderen Workspace an oder verwendet eine unbekannte ID.404 Not Found
Ein Workspace-Mitglied ohne Leserechte für Berichte fordert einen Bericht an.403 Forbidden

Erwartete Antworten für die vorgeschlagenen Tests.

Hohe Priorität / Berechtigungsprüfung auf Objektebene

Die Beispielroute prüft die Leserechte im Workspace der anfragenden Person und sucht den Bericht anschließend nur anhand seiner ID. Wer die ID eines Berichts aus einem anderen Workspace kennt, kann ihn so lesen. Für unbekannte IDs und IDs aus fremden Workspaces soll die API jeweils 404 zurückgeben.

Worauf ich beim Review achte

Berechtigungen und Datentrennung
Eingabeprüfung und Fehlerbehandlung
Offengelegte Daten und Secrets
Wartbarkeit und Abdeckung durch Regressionstests

Leistungen

API-Code-Review

Ich prüfe einen Pull Request oder eine klar abgegrenzte API-Änderung. Ich erläutere, welche Probleme zuerst behoben werden sollten, wie die Korrektur aussehen kann und welche Tests sinnvoll sind.
Webentwicklung

Ich entwickle responsive Websites und Landingpages, auf Wunsch mehrsprachig und mit technischem SEO.
Web- und Desktop-Anwendungen

Ich entwickle Web- und Desktop-Anwendungen, etwa interne Tools, Dashboards oder Programme mit API-Anbindung. Sie funktionieren ohne KI oder erhalten auf Wunsch KI-Funktionen wie Dokumentenauswertung, Zusammenfassungen oder einen Assistenten.
Security-Automatisierung

Ich binde Sicherheitsprüfungen in Ihre CI/CD-Pipeline ein: Code-Analyse, Scans von Abhängigkeiten und Secrets sowie Regressionstests für Berechtigungen. Ihr Team erhält die Ergebnisse als priorisierten Bericht.
KI- und Prozessautomatisierung

Ich automatisiere wiederkehrende Abläufe mit Python und KI-Modellen, etwa das Auswerten und Einordnen von Dokumenten, E-Mails oder Tickets und den Abgleich von Daten zwischen Tools. Wichtige Entscheidungen bleiben bei Ihrem Team.
Entwicklung für MetaTrader

Ich entwickle, korrigiere, portiere und teste Expert Advisors für MT4 und MT5 in MQL4 und MQL5. Ich setze Ihre Regeln um und biete weder Anlageberatung noch Handelssignale an.