Seminar TypeScript Professional – Sichere Schnittstellen und Laufzeitvalidierung

TypeScript entfernt viele Fehler aus dem Entwicklungsprozess, schützt eine Anwendung aber nicht automatisch vor manipulierten Requests oder unzulässigen Zugriffen. Das Seminar setzt an diesen Grenzen an. Für jede Eingabe wird festgelegt, woher sie stammt, welche Annahmen zulässig sind und welche Prüfung vor einer fachlichen Entscheidung erforderlich ist.

Praktisch entsteht eine Verarbeitungskette aus unbekannter Eingabe, Schema-Prüfung, Normalisierung und fachlicher Kontrolle. Hinzu kommen verständliche Fehlerantworten und Tests mit ungültigen oder unerwarteten Daten. Das Seminar vermittelt defensive Entwicklungsarbeit an einem abgegrenzten Anwendungsfall; eine umfassende Penetrationstest-Ausbildung gehört nicht zum Umfang.

Lernziele

• Vertrauensgrenzen und Datenflüsse einer kleinen Anwendung nachvollziehbar erfassen.
• Unbekannte Eingaben mit Laufzeitschemata prüfen und fachliche Modelle daraus ableiten.
• Syntaktische Validierung, fachliche Regeln und Autorisierung getrennt implementieren.
• Fehlerbehandlung und Protokollierung auf unnötige Informationspreisgabe prüfen.
• Unzulässige Eingaben und Zugriffe mit automatisierten Negativtests absichern.

Zielgruppe

TypeScript-Entwickler aus Backend und Frontend, API-Verantwortliche und Entwickler mit Qualitäts- oder Sicherheitsaufgaben.

Voraussetzungen

Sichere TypeScript-Grundlagen, Narrowing und Generics; Erfahrung mit HTTP-/JSON-Schnittstellen und Tests. Für serverseitige Übungen werden grundlegende Node.js-Kenntnisse vorausgesetzt.

Inhaltsübersicht

1. Vertrauensgrenzen und Typgarantien
2. Schemata und Datenverträge
3. Berechtigung und robuste Verarbeitung
4. Negativtests und Sicherheitsreview

Seminarinhalte

Vertrauensgrenzen und Typgarantien

• HTTP-Eingaben, Dateien, Konfiguration und gespeicherte Daten nach ihrer Herkunft beurteilen.
• Type Assertions, Generics und readonly hinsichtlich fehlender Laufzeitgarantien einordnen.
• Ungeprüfte Daten als unknown behandeln und sichere Verarbeitungspfade entwerfen.
• Ein begrenztes Datenflussmodell mit schützenswerten Objekten und Zugriffen erstellen.

Schemata und Datenverträge

• Laufzeitschemata beispielsweise mit Zod für Objekte, Listen und Varianten formulieren.
• Eingabe- und Ausgabetypen bei Normalisierung oder Transformation unterscheiden.
• Grenzwerte, unbekannte Eigenschaften und verständliche Validierungsfehler gezielt festlegen.
• Fachliche Invarianten ergänzen und Doppeldefinitionen von Typen und Schemata reduzieren.

Berechtigung und robuste Verarbeitung

• Authentifizierte Identität von serverseitiger Objekt- und Aktionsberechtigung unterscheiden.
• Eine vorbereitete Identität in serverseitige Zugriffsentscheidungen einbeziehen.
• Parametrisierte Datenzugriffe, begrenzte Eingabegrößen und kontrollierte Fehlerantworten prüfen.
• Secrets, persönliche Daten und interne Fehlerdetails aus unnötigen Protokollen entfernen.

Negativtests und Sicherheitsreview

• Fehlende, zusätzliche, zu große und widersprüchliche Eingaben reproduzierbar testen.
• Unberechtigte Zugriffe auf fremde Objekte unabhängig von der Oberfläche prüfen.
• Erlaubte und verbotene Zustandswechsel als fachliche Testfälle festhalten.
• Die Verarbeitungskette im Code-Review vom HTTP-Eingang bis zum Datenspeicher verfolgen.

Praxisprojekt

Die praktische Arbeit folgt einer zusammenhängenden Aufgabenstellung. Die folgenden Schritte werden anhand vorbereiteter Ausgangsstände umgesetzt und mit überprüfbaren Zwischenständen verbunden.

1. Für einen vorhandenen Endpunkt Eingaben, Vertrauensgrenzen und geschützte Objekte aufnehmen.
2. Ungeprüfte Type Assertions durch unknown und ein nachvollziehbares Laufzeitschema ersetzen.
3. Normalisierte Daten in ein fachliches Modell überführen und zusätzliche Geschäftsregeln prüfen.
4. Die Objektberechtigung serverseitig ergänzen und eine vorbereitete fremde Identität abweisen.
5. Negativtests für Dateneingaben, Zustandswechsel und Zugriffsrechte ausführen.
6. Fehlerantworten und Protokolle auf fachliche Verständlichkeit und überflüssige interne Daten kontrollieren.

Schulungsumgebung

Isoliertes Übungsprojekt mit lokalem API-Dienst, Testidentitäten und synthetischen Daten. Identitätsprovider und externe Sicherheitsinfrastruktur werden nicht neu aufgebaut.

Die Schulungsumgebung wird vom Kunden nach der vorab abgestimmten technischen Checkliste bereitgestellt. Benötigte Installationsrechte, Werkzeuge und Übungsstände werden vor Seminarbeginn geprüft.