Seminar CodeIgniter 4 – Sicherheit, Authentifizierung und Autorisierung

Sicherheit als durchgängige Entwicklungsaufgabe

Sicherheit entsteht nicht durch eine einzelne Bibliothek. Eingaben, Ausgaben, Sessions, Routen, Dateien, Fehleranzeigen und Betriebswerte müssen gemeinsam betrachtet werden. Das Seminar verbindet die eingebauten Schutzmechanismen von CodeIgniter 4 mit einer nachvollziehbaren Authentifizierungs- und Berechtigungsstruktur.

Die Teilnehmer untersuchen typische Schwachstellen, härten eine Beispielanwendung und integrieren geschützte Web- und API-Funktionen mit CodeIgniter Shield. Entscheidungen zu Rollen, direkten Berechtigungen und Zugriffskontext werden anhand konkreter Fachfälle getroffen.

Zielgruppe

Angesprochen sind Entwickler, Administratoren und technische Verantwortliche, die Anwendungen mit Benutzerkonten, vertraulichen Daten, Uploads oder extern erreichbaren APIs betreiben. Das Seminar eignet sich auch als Sicherheitsreview vor einer Produktivsetzung.

Voraussetzungen

Teilnehmer sollten CodeIgniter-Routing, Controller, Formulare, Sessions und Datenbankzugriff kennen. Grundkenntnisse zu HTTP, Cookies und üblichen Webangriffen sind hilfreich, werden im Seminar aber anhand praktischer Beispiele gefestigt.

Seminarinhalte

• Bedrohungsmodell und Schutzbedarf für Weboberflächen, APIs, Administratorfunktionen und Hintergrundprozesse bestimmen.
• Eingaben typgerecht validieren, erlaubte Felder begrenzen und fachliche von technischen Prüfungen trennen.
• Ausgaben kontextgerecht escapen und Risiken durch unkontrollierte HTML-, URL- oder JSON-Ausgabe vermeiden.
• CSRF-Schutz korrekt aktivieren, Ausnahmen bewusst behandeln und Formulare sowie asynchrone Requests absichern.
• Controller-Filter für Authentifizierung, Berechtigungen, Sicherheitsheader, Mandantenkontext und Protokollierung einsetzen.
• Sessions, Cookies, Regeneration, Lebensdauer, Logout und sichere Speicherung nachvollziehbar konfigurieren.
• CodeIgniter Shield installieren und Benutzer, Login-Verfahren, Gruppen, Rollen und direkte Berechtigungen modellieren.
• Geschützte Routen und APIs umsetzen sowie Fehlerantworten ohne Informationspreisgabe gestalten.
• Datei-Uploads mit Größen-, Typ-, Namens- und Speicherregeln prüfen und außerhalb unkontrollierter Auslieferung ablegen.
• Passwörter, Schlüssel und weitere Geheimnisse nicht im Quellcode speichern und Umgebungswerte angemessen schützen.
• Fehleranzeigen, Logs und Audit-Informationen so konfigurieren, dass Diagnose möglich bleibt, ohne vertrauliche Daten zu sammeln.
• Abhängigkeiten, Produktionsmodus, Webserver, Berechtigungen und Sicherheitsprüfung vor dem Deployment einbeziehen.

Praxisarbeit

Eine unzureichend geschützte Anwendung wird analysiert und gehärtet. Anschließend werden Login, Rollen und Berechtigungen mit Shield integriert, geschützte Routen getestet und Upload- sowie CSRF-Fehlerfälle gezielt geprüft.

Methodik

Das Seminar kombiniert Angriffsszenarien, Live-Coding, Konfigurationsprüfung und Tests. Framework-Schutz, Identitätsverwaltung, Berechtigungsmodell und sichere Betriebswerte werden als zusammenhängendes Sicherheitskonzept behandelt.