Подменив номер заказа в сообщении подписки, пользователь видит чужую доставку
После подключения клиент отправляет {"action": "subscribe", "orderId": "A-1043"} и получает обновления статуса этого заказа. Соединение проверяет токен при открытии. Тестировщик изменил orderId на чужой и начал получать адрес и телефон курьера другого покупателя.
Где ошибка?
- Права не проверяются при подписке на канал
- Токен нужно проверять на каждом ping
- Номера заказов должны быть случайными
- Подписки нужно шифровать отдельным ключом