В сети раскритиковали сайт выдачи спецпропусков в Астрахани
<b>Сообщество «Не могу» перечислило недочёты работы сайта по выдаче специальных пропусков для перемещения по Астраханской области.<br>
</b><br>
«1. Ужасный способ выбора даты рождения. Неподходящий «пикер даты». Такой будет уместен лишь для выбора ближайших дней;<br>
<br>
2. Нельзя ввести вручную дату рождения;<br>
<br>
3. Нет валидации по формату мобильного телефона;<br>
<br>
4. Нет валидации/подсказок по улицам города. Можно было прикрутить свободно-распространяемые базы;<br>
<br>
5. Ошибка о длительности выхода (не более 5 часов) появится после проверки всех остальных полей. Так делать не надо;<br>
<br>
6. Отсутствует защита от ботов reCaptcha;<br>
<br>
7. Оставили в коде инфу о других сервисах или планируемых фичах;<br>
<br>
8. «Утверждения пропуска» нет. Он приходит уже через секунду на почту;<br>
<br>
9. Нельзя выбрать сегодняшнюю дату;<br>
<br>
10. Пропуск, который пришел на почту имеет в QR всего лишь ссылку на страницу «Пропуск действителен» и запись в базе данных формата AST*****_*****;<br>
<br>
11. Система позволяет выбрать дату рождения младше 18 лет, но после заявки на почту придет отказ. Это глупо, нужно лишь ограничить выбор даты до ее ввода и написать об этом;<br>
<br>
12. Нельзя выбрать время позже 21:00. У нас есть такие ограничения?<br>
<blockquote>
<i>Выводы:</i>
</blockquote>
- Нет защиты от ботов, которые могут загрузить систему тысячами запросов в секунду.<br>
<br>
- Нет элементарных валидаций. Можно получить пропуск с телефоном "000000" на улицу Пушкина, Дом Колотушкина.<br>
<br>
- Никто не фильтрует эти пропуска. Все выдается автоматом.<br>
<br>
- Прямым перебором по маске AST*****_***** можно узнать персональные данные людей, которые запрашивали пропуск. Вот это очень плохо.<br>
<br>
- Если пользователю выдается лишь QR код со ссылкой, то легко распечатать пропуск с ИЗМЕНЕННОЙ ссылкой, ведущей на свой, подставной сайт, где всегда можно написать «Пропуск действителен». Таким путем можно сделать себе бесконечный пропуск.<br>
<br>
Для студента, который сделал за 1 день - нормально. Если за 5 дней - уже нет :)».<br>
<blockquote>
<i><b>Ранее юрист <a target="_blank" href="https://ast-news.ru/node/yurist-nazval-bezotkaznuyu-prichinu-dlya-polucheniya-razovogo-spetspropuska-v-astrakhani/">назвал</a> безотказную причину для получения разового спецпропуска в Астрахани</b></i>
</blockquote>
<br>