Sicherheitstests für Single-Page-Anwendungen (SPAs)

Bei der Entwicklung einer Webanwendung können Dev-Teams zwischen zwei grundlegenden Designmustern wählen: Single-Page-Anwendungen (SPAs) oder herkömmlichen Multi-Page-Anwendungen (MPAs). Welches Muster sich eignet, hängt von verschiedenen Faktoren ab. Immer mehr Unternehmen entwickeln jedoch SPAs, da diese eine reibungslosere Benutzererfahrung (UX) bieten und dadurch möglicherweise besser angenommen werden.

Vorteile von SPAs

SPAs schreiben Inhalte dynamisch mit neuen Daten vom Server um, anstatt bei Interaktionen mit Seitenelementen jeweils ganze neue Seiten zu laden.

Bei SPAs wird die Seite zunächst einmal geladen. Alle folgenden Interaktionen und Änderungen an der Seite werden asynchron über JavaScript verarbeitet. Dazu werden in der Regel AJAX-Anfragen (Asynchronous JavaScript and XML) verwendet, um Daten vom Server abzurufen. Das Ergebnis: Die Seite wirkt flüssiger und reagiert schneller, da nur die erforderlichen Daten abgerufen und dargestellt werden müssen. Die gesamte Seite muss nicht neu geladen werden – samt der damit verbundenen „Sprünge“. Für Nutzerinnen und Nutzer ist die Bedienung von SPAs reibungsloser, ohne Flackern oder Unterbrechungen bei der Navigation. So bleiben sie länger dabei. Bei herkömmlichen Webanwendungen kann hingegen alles etwas ruckeliger wirken – selbst auf den leistungsstärksten Geräten.

Abgesehen von den anfänglichen Ladezeiten bieten SPAs in der Regel auch eine höhere Leistung. Da nur die erforderlichen Daten und Assets geladen und Inhalte anschließend bei Bedarf dynamisch aktualisiert werden, sind alle weiteren Ladevorgänge schneller als bei herkömmlichen Multi-Page-Anwendungen. SPAs nutzen häufig verbesserte Caching-Mechanismen, mit denen häufig abgerufene Daten oder Ressourcen gespeichert werden. Dadurch sind weniger wiederholte Anfragen an den Server nötig, was die Leistung weiter verbessert und die Latenz verringert.

Auch für Unternehmen, die Webanwendungen entwickeln, liegen die Vorteile auf der Hand: SPAs verlagern einen Großteil der Darstellung und Verarbeitung auf die Client-Seite und verringern so die Serverlast. Anwendungen mit vielen Nutzerinnen und Nutzern und hohem Datenverkehr profitieren von der geringeren Serverlast und Bandbreitennutzung. Das senkt die Kosten für den effizienten Betrieb der Infrastruktur.

SPAs setzen häufig stark auf clientseitiges Rendering, bei dem der Webbrowser statt des Servers einen Großteil der Darstellungs- und Verarbeitungslogik übernimmt. Beliebte JavaScript-Frameworks und -Bibliotheken wie AngularJS, ReactJS und Vue.js kommen häufig bei der Entwicklung von SPAs zum Einsatz, da sie den Anwendungsstatus effizient verwalten und dynamische Aktualisierungen der Benutzeroberfläche verarbeiten können.

Gerade für Dev-Teams können SPAs eine gute Wahl sein, da sie dem modernen Trend zu modularen, komponentenbasierten Microservices-Architekturen folgen. Der Einstieg ist zwar architektonisch komplexer, doch danach lassen sich SPAs leichter entwickeln, testen und warten. Dank der Vielzahl moderner Frameworks und Bibliotheken mit integrierten Funktionen für Statusverwaltung, Routing und Datenabruf ist es einfacher und schneller, eine hochwertige Codebasis zu erreichen und zu pflegen. Zudem gelten diese Frameworks und Bibliotheken in der gesamten Dev-Community als umfassend geprüft.

Im Backend greifen SPAs auf APIs zurück, die alle erforderlichen Daten und Logik für die Anforderungen des Frontends bereitstellen. Manchmal befinden sich API und Frontend-Anwendung auf demselben Host, zum Beispiel die API unter https://app.example.com/api und das Frontend unter https://app.example.com. Häufiger ist jedoch ein eigener Host für die API, zum Beispiel https://api.example.com.

Herausforderungen beim Sicherheitstest Ihrer SPAs

Eine der größten Herausforderungen bei der Entwicklung von SPAs sind Sicherheitstests. Wenn Sie an ein Frontend denken, in dem viel JavaScript das DOM bearbeitet, es dynamisch verändert und für dieselben URLs unterschiedliche DOMs erzeugt, werden die Herausforderungen herkömmlicher Sicherheitstests deutlich.

Sicherheitstests für SPAs können sich nicht darauf beschränken, wie bei herkömmlichen Sicherheitstests die Frontend-URLs zu crawlen und Spider einzusetzen. Die Arbeit der Spider ist viel komplexer. Trotz der erst in jüngerer Zeit eingeführten AJAX-Spider dauert der Prozess oft lange und liefert dennoch keine gründlichen, umfassenden und präzisen Ergebnisse.

Da SPAs stark auf APIs setzen, sind angemessene API-Sicherheitstests ebenfalls entscheidend. Gründliche Tests der API-Endpunkte sind für die Sicherheit der gesamten Anwendung unerlässlich. Die gute Nachricht: APIs sind deutlich stabiler und konsistenter. Tests der zugrunde liegenden SPA-API sind daher eine hervorragende Möglichkeit, die große Mehrheit der Schwachstellen in der gesamten SPA zu finden.

So scannt Snyk API & Web SPAs

Mit Snyk API & Web können Sie API- und Webanwendungsziele umfassend scannen. Anders als die meisten anderen Plattformen für Schwachstellenscans kann Snyk API & Web nahtlos einen vollständigen, umfassenden SPA-Scan durchführen, der alle API-Endpunkte findet und auf Schwachstellen testet.

Wenn Ihre SPA XMLHttpRequests (XHR) an eine API sendet, verfolgt Snyk API & Web die von der SPA initiierten XHR-Anfragen zur Kommunikation mit der API. Während die SPA mit den API-Endpunkten interagiert, scannt die Plattform jeden einzelnen Endpunkt auf potenzielle Sicherheitslücken. Dazu untersucht sie verschiedene Aspekte der API-Endpunkte, etwa die Eingabevalidierung, Authentifizierungsmechanismen, den Umgang mit Daten sowie mögliche Schwachstellen wie Injection-Lücken oder unsichere Konfigurationen.

Mit Snyk API & Web ist das Scannen von SPAs auf Schwachstellen ganz einfach: Sie müssen in den Einstellungen nur die URL der SPA und die zugehörige API angeben. Der Scanner durchsucht anschließend die Frontend-Anwendung und die konfigurierte API, untersucht alle von der Anwendung durchlaufenen und vom Crawler gefundenen API-Endpunkte und führt einen umfassenden Schwachstellenscan der SPA durch – ohne dass Sie sich durch (manchmal zahlreiche) Hürden kämpfen müssen. Sie wissen schon, ähnlich wie bei den Hürden, die Nutzerinnen und Nutzer erleben, wenn eine Seite vollständig neu geladen wird, statt wie bei einer SPA reibungslos zu laden.

Möchten Sie es selbst ausprobieren? Melden Sie sich jetzt an und testen Sie Ihre SPAs mit Snyk API & Web.