Symfony Security Component e RBAC: controllo accessi per applicazioni multi-tenant
In un'applicazione multi-tenant il controllo accessi è dove si gioca la sicurezza dei dati dei clienti. Come implementare RBAC con il Security Component di Symfony: ruoli e gerarchie, voter per le decisioni fini, e soprattutto l'isolamento rigoroso dei dati tra tenant. Gli errori che portano a una cross-tenant data leak e come prevenirli a livello di query e di autorizzazione, da applicazioni SaaS reali. Continua a leggere
Ultima modifica:
Un portale clienti su API ha bisogno di un'autenticazione robusta, e il JWT mal implementato è una falla classica. Come farlo bene in Symfony 7: firma e verifica corrette, gestione di scadenza e refresh token, revoca. Con la sezione dal lato attaccante: l'algorithm confusion, i token non scaduti, le chiavi deboli, e come un audit reale di JWT trova questi problemi. Sicurezza pratica, non solo configurazione. 
La validazione dell'input non è solo UX: è la prima linea di difesa contro l'injection. Come si fa bene in Symfony 7, con i constraint del Validator, la validazione a più livelli e la distinzione tra dato valido e dato sicuro. Con una sezione dal lato attaccante: cosa prova chi vuole aggirare la validazione (encoding, type juggling, payload di seconda mano) e come chiudere quei vettori a livello applicativo. 
Sanctum o Passport non è una questione di moda ma di requisiti. Le differenze reali tra i due approcci all'autenticazione API in Laravel: token semplici contro OAuth completo, casi d'uso tipici, sicurezza e gestione dei token, e quando l'uno è over-engineering rispetto all'altro. Guida decisionale per una PMI che espone API a un'app mobile o a partner B2B, senza scegliere la soluzione più complessa per default. 
Quando un agente esegue azioni reali, la prompt injection smette di essere un trucco testuale e diventa un compromesso di sistema. La formalizzazione OWASP ASI01, il pattern comune (l'agente non distingue istruzioni fidate da contenuto non fidato) e gli incidenti documentati del 2026 che lo dimostrano. Le difese che reggono: input validation, output fencing, least-privilege sui tool, human-in-the-loop. Fatti e CVE dal ledger degli incidenti agentici, non a memoria. 
Un WAF filtra pattern noti, ma gli attacchi alla logica applicativa gli passano sotto. Come funzionano davvero la Server-Side Request Forgery e l'abuso dei flussi OAuth: accesso a servizi interni e metadata cloud via SSRF, furto di token e confusione di redirect_uri negli OAuth. Esempi reali e difese che vivono nel codice, non nel perimetro: allowlist di destinazioni, validazione rigorosa dei redirect, isolamento delle richieste in uscita. 
Un penetration test non è uno scan automatico: è un percorso metodico dalla ricognizione allo sfruttamento controllato. Cosa accade davvero quando si testa un'applicazione web in azienda: le fasi, le vulnerabilità che si trovano più spesso (auth, logica applicativa, injection di seconda mano), come si distingue un finding reale da un falso positivo e come il report si traduce in remediation prioritizzate. Dalla prospettiva di chi attacca per difendere. 
I was called in to investigate a checkout that had quietly stopped converting on a legacy Italian e-commerce. It was not a card skimmer but a "man-in-the-cart" kit: it hides the shop's real payment options and drops in a fake SEPA gateway, with a live-chat operator to talk the buyer through paying the attacker. The unsettling part is who wrote it: the kit's own runtime says an LLM generates a bespoke loader per victim. Full teardown, indicators, and what it means for any shop on an old codebase. 
La system card di Mythos del 2026 include più di 40 pagine di white-box analysis: feature distinte per etica, vergogna, stress, ostinazione si attivano quando il modello intraprende azioni non allineate. Anthropic chiama Persona Vectors questa sovrapposizione di stati funzionali. Checklist di audit in dieci punti per verificare se il modello ha feature di deception, reward hacking, self-preservation attive, con strumenti open source da integrare in pipeline. 
Ad aprile 2026 Anthropic ha annunciato Mythos, modello troppo pericoloso da rilasciare al pubblico per le sue capacità di trovare zero-day in OS e browser principali. Disponibile solo entro Project Glasswing a 12 partner enterprise con 100 milioni di crediti usage. Diagnosi del problema che il precedente apre: una stessa azienda crea, valuta e narra il proprio modello senza audit terze parti. Implicazioni di cyber intelligence, governance e cosa una PMI può fare per verificare un vendor AI.