白話找詞

使用者登入我的網站後，我擔心他只要在別的惡意網站點個東西，那個網站就能假冒他、用他已登入的身分對我的後端送出轉帳或改密碼的請求。我不知道這種「借用別人已登入狀態」的攻擊叫什麼。

我把 API 金鑰、資料庫密碼、第三方服務的 token 直接寫死在程式碼裡，結果 push 到 GitHub 後才發現別人看得到、甚至被盜刷。我不知道這些東西「正確該放哪」、要怎麼講才對。

使用者可以在留言、暱稱、評論裡打字，然後顯示在頁面上。我擔心有人打一段 <script> 之類的東西進去，別人一打開頁面就中招、被偷 cookie 或亂跳轉，但我不知道這要怎麼處理、關鍵字叫什麼。

我給後端服務、資料庫帳號、或 API token 都開了最大的權限（什麼都能做），因為這樣最方便不會卡。但有人說萬一這把鑰匙外洩，對方就能為所欲為。我不知道「只給剛好夠用的權限」這件事叫什麼。

我把使用者在輸入框打的字直接接進資料庫查詢語句裡，有人說這樣別人可能在輸入框打一段東西就把我整個資料庫的資料偷走、甚至刪掉，但我不知道這個攻擊叫什麼、也不知道怎麼防。

我想讓使用者登入後不用每次都查資料庫驗身分，發一個「通行證」給他帶著就好；但我怕對方自己亂改通行證裡的內容（例如把自己改成管理員）。我不知道這種「帶得走又改不動」的憑證叫什麼。