Die kurze Antwort
Lege fest, welches Konto, welchen Zeitraum, welche Datensätze und Felder der Empfänger erhalten darf. Gleiche jede ausgelieferte Datei damit ab, einschließlich eingebetteter Daten und Tabellen. Eine richtig beschriftete Grafik kann fremde Datensätze begleiten. Inhaltsprüfung, Weitergaberecht und tatsächlichen Zielzugang getrennt halten; eine lokale Dateiprüfung bestätigt keine Serverberechtigung.
Das nimmst du mit
- Der Kundenname auf dem Titelblatt belegt keine Herkunft sämtlicher Datensätze.
- Benötigte und unerwartete Zeilen prüfen; ein leerer Bericht ist keine gelungene Übergabe.
- Unbekannte Eigentümerschaft und nicht prüfbare Formate ausdrücklich offenlassen.
Die Grenze vor dem Export festlegen
Erfasse für einen berechtigten Kundenbericht Empfänger, Konto- oder Seitenreferenz, Beobachtungszeitraum, Kennzahlendefinitionen und erlaubte Felder. Benenne vollständigen Bestand oder vereinbarte Auswahl. Halte privat eine minimale Liste erwarteter Datensatzschlüssel aus der freigegebenen Quelle bereit. Gemeinsamer Agenturzugang, gleicher Anzeigename und kopierte Vorlage ersetzen keine zuverlässige Kontogrenze.
Die Abschlussfrage lautet: Enthält genau diese Lieferung das vollständige vereinbarte Material des richtigen Kunden ohne bekannte fremde Inhalte? Das ist eine andere Aufgabe als ein Markenlayout oder die Prüfung einer Tabellenverknüpfung. Auch eine öffentliche anonyme Zusammenfassung hat einen anderen Zweck. Rechnerisch richtige Zahlen können im Bericht des falschen Kunden stehen.
Die Dateien hinter der sichtbaren Grafik prüfen
Erfasse tatsächlichen Export, Tabelle, Datenanhang, Bildbeschreibung, Notizen und verlinkte Ziele. Lies die ausgelieferten Fassungen statt nur der Gestaltungsfläche. Manche Formate enthalten mehr Daten als sichtbar dargestellt. Die gelieferte SVG-Übung zeigt die richtige Summe, enthält aber im Metadatenbereich einen fremden Datensatz. Das ist eine absichtlich konstruierte Datei, kein beobachteter Fehler eines echten Berichtssystems.
Nutze erlaubte Feldnamen und genaue kontobezogene Schlüssel, soweit die Quelle sie liefert. Gleiche Häufigkeit und Werte ab, nicht nur eine Menge einmaliger Kennungen. Umbenanntes Feld, unbekanntes Format, fehlende Eigentümerschaft oder ungeprüftes Bild bleiben eigene offene Punkte. Die Suche nach einem Kundennamen beweist keine Abwesenheit anderer Darstellungen.
Dieselben drei Quellzeilen durch das Paket verfolgen
Die eigene Lehrquelle enthält A1 und A2 des fiktiven Kontos A mit 120 und 80 Impressionen. B1 gehört zum fiktiven Konto B und hat 300. Alle verwenden denselben erfundenen Oktoberzeitraum. Für A sind genau A1 und A2 mit Summe 200 vereinbart. JSON, CSV und SVG-Metadaten stellen dieselben zwei Zeilen dar, keine sechs unabhängigen Beiträge.
Starte den enthaltenen Python-Prüfer nach dem Entpacken. Er liest die erzeugten Dateien, vergleicht Feldnamen, Konto, Zeitraum, genaue Zeilenhäufigkeit und Werte und prüft die Summe. Er gilt ausdrücklich nur für gelieferte Schemata und Übungsdateien. Beliebige Kundendateien, PDF-Auswertung, Rasterbildprüfung und Produktionszugriff unterstützt er nicht.
| Konstruierte Lieferung | Sichtbare Darstellung | Tatsächliche Entscheidung |
|---|---|---|
| Vollständige A-Dateien | A-Summe 200 | Drei Darstellungen entsprechen den zwei erwarteten Zeilen |
| Fremde SVG-Metadaten | A-Summe weiterhin 200 | Zurückhalten: Metadaten enthalten zusätzlich B1 |
| A2 fehlt in CSV | Andere Dateien weiterhin 200 | Zurückhalten: CSV enthält nur A1 und Summe 120 |
| Unbekanntes Konto in JSON | Wirkt wie A-Bericht | Zurückhalten: Herkunft nicht belegt |
Den Umfang vor einem bestandenen Prüfvermerk reparieren
D1 — Eine Grafik trägt die Marke A, ihre eingebetteten Daten enthalten jedoch B1. Bereinige über den berechtigten Quell- und Exportweg, erzeuge betroffene Lieferung neu und prüfe erneut. Ein anderes Logo oder eine versteckte Legende repariert die Daten nicht. Der Prüfer zeigt den Fehler lokal; kein wirklicher Kunde erhielt die Übung.
D2 — Die CSV enthält keine B-Zeile, aber A2 fehlt. Fehlende Fremdwerte genügen nicht: Beide erwarteten A-Zeilen und Summe 200 abgleichen. D3 — Einer Zeile fehlt eine belegte Kontozuordnung. Bis zur Klärung durch eine berechtigte Quelle bleibt sie außerhalb der Freigabe. Passende Summe allein begründet keine Eigentümerschaft.
Weitergaberecht und Zugang getrennt kontrollieren
OWASP empfiehlt standardmäßige Verweigerung und Berechtigungsprüfung bei jeder Anfrage, auch für geschützte statische Dateien. Deshalb beweist eine lokale Exportprüfung keinen begrenzten Zugriff auf die gehostete Kopie. Undurchsichtige Adresse und erfolgreicher Eigentümerdownload bestätigen keine Empfängertrennung. Prüfe mit der zuständigen Stelle nur das berechtigte tatsächliche Ziel; rate keine fremden Kundenlinks und untersuche keine unbeteiligten Konten.
Halte freigegebenen Empfänger, Weitergabegrundlage, Zugangsgrenze und tatsächlich beobachteten Stand fest. Linkentwurf, hochgeladene Datei, gesendete Einladung und bestätigter Zugang des richtigen Empfängers sind andere Zustände. Fehlt die Zugangskontrolle, bleibt sie offen. Ein bestandener Inhaltscheck bestätigt weder umfassende Rechte noch Sicherheitsprüfung oder Rückruf früher verteilter Kopien.
Eine kurze Quittung für genau diese Lieferung behalten
Der bearbeitbare Bogen verbindet Quellfassung, erwartete Schlüssel und Felder, Dateiversionen, Inhaltsentscheidungen, offene Formate, Empfänger und Zielprüfung. Private Kennungen gehören nicht in einen öffentlichen Bericht. Ein Byte-Fingerabdruck unterscheidet gleichnamige Dateien; seine Aussage hängt weiter von Quelle und tatsächlicher Kontrolle ab. Bewahre keine unnötigen Kundendaten nur für einen längeren Prüfvermerk auf.
Das Paket enthält alle drei Quellzeilen, vier tatsächliche lokale Liefervarianten, Prüfergebnisse und leere deutsche/englische Bögen. Konten und Werte sind fiktiv. Gezeigt wird eine begrenzte reproduzierbare Exportprüfung, kein wirklicher Kontozugriff, Serverberechtigungstest, unabhängiges Gutachten, Leserresultat oder belegter Kundennutzen.
- Berechtigten Lieferumfang erklären.
- Genaue Dateien und unterstützte Prüfungen auflisten.
- Vollständige kontobezogene Zeilen, Felder, Werte und Summen abgleichen.
- Offene Dateien reparieren oder zurückhalten.
- Berechtigtes tatsächliches Ziel prüfen und eigenen Status behalten.
Quellen & Produktinformationen
Produktangaben beziehen sich auf den Stand dieser Veröffentlichung. Externe Funktionen und Oberflächen können sich ändern.
