Seminar Slim Framework 4 – Sicherheit, Authentifizierung und Fehlerbehandlung

Seminarprofil

Slim bringt bewusst nur einen kleinen Kern mit. Sicherheitsfunktionen müssen deshalb geplant, korrekt angeordnet und mit geeigneten Komponenten ergänzt werden. Dieses Seminar zeigt, wie Webanwendungen und APIs auf Basis von Slim 4 gegen typische Angriffe abgesichert werden. Neben Authentifizierung und Autorisierung liegt ein besonderer Schwerpunkt auf sicherer Fehlerbehandlung, dem Schutz sensibler Daten und einer Middleware-Pipeline, deren Reihenfolge nachvollziehbar geprüft wird.

Zielgruppe

Angesprochen sind Entwickler und technische Verantwortliche, die Slim-Anwendungen mit Benutzerkonten, geschützten APIs oder sensiblen Daten entwickeln. Das Seminar eignet sich auch zur Überprüfung bestehender Sicherheitskonzepte und Fehlerhandler.

Inhaltliche Schwerpunkte

• Bedrohungsmodell für serverseitige Webanwendungen und HTTP-APIs
• Strikte Validierung und Normalisierung von Pfad-, Query-, Header- und Body-Daten
• Sitzungsbasierte und tokenbasierte Authentifizierung sowie sichere Passwortverarbeitung
• Rollen-, rechte- und ressourcenbezogene Autorisierung in Middleware und Fachlogik
• CORS-Regeln, Preflight-Anfragen und kontrollierte Freigabe von Ursprüngen
• CSRF-Schutz für formularbasierte Anwendungen und Abgrenzung zu reinen APIs
• Security Header, HTTPS, Proxy-Vertrauen, Cookies und SameSite-Einstellungen
• Geheimnisse, Umgebungswerte, Schlüsselrotation und sichere Konfigurationsablage
• ErrorMiddleware, eigene Error Renderer und keine ungeprüften Nutzerdaten in Fehlerüberschriften oder -beschreibungen
• Logging ohne Passwörter, Tokens oder personenbezogene Daten offenzulegen
• Rate-Limiting-Konzepte, Missbrauchserkennung und Schutz kostenintensiver Endpunkte
• Abhängigkeitsprüfungen, sichere Updates und kontrollierte Reaktion auf Schwachstellen

Praktische Arbeit

Die Teilnehmer sichern eine Beispielanwendung mit Authentifizierungs- und Autorisierungs-Middleware, Validierung, CORS- und CSRF-Regeln sowie sicheren Fehlerantworten ab. Anschließend werden Angriffs- und Fehlerszenarien geprüft und die Protokollierung auf unbeabsichtigte Datenlecks untersucht.

Einordnung im Lernpfad

Das Seminar setzt Routing- und Middleware-Kenntnisse voraus. Es sollte vor dem produktiven Betrieb besucht und idealerweise mit Testing sowie Deployment kombiniert werden.