A working bank. Open it and try to break it. Una banca che funziona. Aprila e prova a romperla.

ClaimAffermazione HowCome SourcesFonti

• The same payment is not applied twice. Lo stesso pagamento non viene eseguito due volte.

  Every money operation carries a key the server recognises, and is applied at most once per key: when the same request arrives again with the same key, after a retry or a network error, the money does not move a second time. That held under 24 identical parallel requests on a real SQL Server. A key is kept for 24 hours: the same request sent after that is a new payment. The screen has its own guard as well: it sends no second request while the first is in flight, so a double click sends one.

  Ogni operazione che muove denaro porta con sé una chiave che il server riconosce, ed è eseguita al massimo una volta per chiave: se la stessa richiesta arriva di nuovo con la stessa chiave, per un nuovo tentativo o un errore di rete, il denaro non si muove una seconda volta. Ha retto a 24 richieste identiche in parallelo su un vero SQL Server. Una chiave è conservata per 24 ore: la stessa richiesta inviata dopo è un nuovo pagamento. Anche la schermata ha la sua protezione: non invia una seconda richiesta mentre la prima è in corso, quindi un doppio clic ne invia una sola.

  Decision 0009 Decisione 0009 Test: 24 in parallel Test: 24 in parallelo Test: a double click Test: un doppio clic

• The access token never reaches the browser. Il token di accesso non arriva mai al browser.

  A BFF keeps it in a session on the server; the browser gets a cookie that the page's scripts cannot read.

  Un BFF lo tiene in una sessione sul server; il browser riceve un cookie che gli script della pagina non possono leggere.

  SECURITY.md Test: the cookie Test: il cookie

• One PIN entry authorises one payment. Un inserimento del PIN autorizza un solo pagamento.

  Bound to the account, the amount and, for a transfer, the payee; valid two minutes and spent once. Three wrong PINs in a row lock the PIN for 15 minutes.

  Legato al conto, all'importo e, per un bonifico, al beneficiario; valido due minuti e utilizzabile una sola volta. Tre PIN sbagliati di fila bloccano il PIN per 15 minuti.

  Decision 0042 Decisione 0042 Test: spent once Test: usata una volta

• A security log that can be checked. Un registro di sicurezza che si può verificare.

  Append-only, each row chained to the one before by a keyed hash. A tool in the repository, AzureBank.AuditVerifier, walks the chain. It needs the database and the chain's two keys, so a visitor can run it on a local copy of the project, not on the live demo. It does not detect rows cut from the end of the table.

  Il registro riceve solo righe nuove, ognuna legata alla precedente da un hash con chiave. Uno strumento del repository, AzureBank.AuditVerifier, percorre la catena. Gli servono il database e le due chiavi della catena, quindi un visitatore non può usarlo sulla demo online; su una copia locale del progetto sì. Non rileva le righe tagliate dalla fine della tabella.

  Decision 0044 Decisione 0044 Test: the chain Test: la catena

• The frontend is held to the API's contract. Il frontend è verificato sul contratto dell'API.

  The API generates the contract. The same contract tests run against the mock and against the real BFF, API and SQL Server, and the browser tests run on the built app as the BFF serves it.

  Il contratto lo genera l'API. Gli stessi test di contratto girano contro il mock e contro BFF, API e SQL Server reali, e i test nel browser girano sull'app compilata, così come la serve il BFF.

  Decision 0053 Decisione 0053 Test: the contract Test: il contratto