Сообщество «Не могу» перечислило недочёты работы сайта по выдаче специальных пропусков для перемещения по Астраханской области.
«1. Ужасный способ выбора даты рождения. Неподходящий «пикер даты». Такой будет уместен лишь для выбора ближайших дней;
2. Нельзя ввести вручную дату рождения;
3. Нет валидации по формату мобильного телефона;
4. Нет валидации/подсказок по улицам города. Можно было прикрутить свободно-распространяемые базы;
5. Ошибка о длительности выхода (не более 5 часов) появится после проверки всех остальных полей. Так делать не надо;
6. Отсутствует защита от ботов reCaptcha;
7. Оставили в коде инфу о других сервисах или планируемых фичах;
8. «Утверждения пропуска» нет. Он приходит уже через секунду на почту;
9. Нельзя выбрать сегодняшнюю дату;
10. Пропуск, который пришел на почту имеет в QR всего лишь ссылку на страницу «Пропуск действителен» и запись в базе данных формата AST*****_*****;
11. Система позволяет выбрать дату рождения младше 18 лет, но после заявки на почту придет отказ. Это глупо, нужно лишь ограничить выбор даты до ее ввода и написать об этом;
12. Нельзя выбрать время позже 21:00. У нас есть такие ограничения?
- Нет элементарных валидаций. Можно получить пропуск с телефоном "000000" на улицу Пушкина, Дом Колотушкина.
- Никто не фильтрует эти пропуска. Все выдается автоматом.
- Прямым перебором по маске AST*****_***** можно узнать персональные данные людей, которые запрашивали пропуск. Вот это очень плохо.
- Если пользователю выдается лишь QR код со ссылкой, то легко распечатать пропуск с ИЗМЕНЕННОЙ ссылкой, ведущей на свой, подставной сайт, где всегда можно написать «Пропуск действителен». Таким путем можно сделать себе бесконечный пропуск.
Для студента, который сделал за 1 день - нормально. Если за 5 дней - уже нет :)».
AST-NEWS.ru
«1. Ужасный способ выбора даты рождения. Неподходящий «пикер даты». Такой будет уместен лишь для выбора ближайших дней;
2. Нельзя ввести вручную дату рождения;
3. Нет валидации по формату мобильного телефона;
4. Нет валидации/подсказок по улицам города. Можно было прикрутить свободно-распространяемые базы;
5. Ошибка о длительности выхода (не более 5 часов) появится после проверки всех остальных полей. Так делать не надо;
6. Отсутствует защита от ботов reCaptcha;
7. Оставили в коде инфу о других сервисах или планируемых фичах;
8. «Утверждения пропуска» нет. Он приходит уже через секунду на почту;
9. Нельзя выбрать сегодняшнюю дату;
10. Пропуск, который пришел на почту имеет в QR всего лишь ссылку на страницу «Пропуск действителен» и запись в базе данных формата AST*****_*****;
11. Система позволяет выбрать дату рождения младше 18 лет, но после заявки на почту придет отказ. Это глупо, нужно лишь ограничить выбор даты до ее ввода и написать об этом;
12. Нельзя выбрать время позже 21:00. У нас есть такие ограничения?
Выводы:- Нет защиты от ботов, которые могут загрузить систему тысячами запросов в секунду.
- Нет элементарных валидаций. Можно получить пропуск с телефоном "000000" на улицу Пушкина, Дом Колотушкина.
- Никто не фильтрует эти пропуска. Все выдается автоматом.
- Прямым перебором по маске AST*****_***** можно узнать персональные данные людей, которые запрашивали пропуск. Вот это очень плохо.
- Если пользователю выдается лишь QR код со ссылкой, то легко распечатать пропуск с ИЗМЕНЕННОЙ ссылкой, ведущей на свой, подставной сайт, где всегда можно написать «Пропуск действителен». Таким путем можно сделать себе бесконечный пропуск.
Для студента, который сделал за 1 день - нормально. Если за 5 дней - уже нет :)».
Ранее юрист назвал безотказную причину для получения разового спецпропуска в Астрахани
