ZUT - Polska Rama Kwalifikacji / Rok 2024/2025 / Wydział Informatyki / Informatyka (S1) / Inżynieria oprogramowania / Sylabus przedmiotu - Testowanie i bezpieczeństwo aplikacji webowych

Wydział Informatyki - Informatyka (S1)
specjalność: Inżynieria oprogramowania

Sylabus przedmiotu Testowanie i bezpieczeństwo aplikacji webowych:

Informacje podstawowe

Kierunek studiów	Informatyka
Forma studiów	studia stacjonarne	Poziom	pierwszego stopnia
Tytuł zawodowy absolwenta	inżynier
Obszary studiów	charakterystyki PRK, kompetencje inżynierskie PRK
Profil	ogólnoakademicki
Moduł	—
Przedmiot	Testowanie i bezpieczeństwo aplikacji webowych
Specjalność	Inżynieria aplikacji webowych
Jednostka prowadząca	Katedra Inżynierii Systemów Informacyjnych
Nauczyciel odpowiedzialny	Bartłomiej Małachowski <Bartlomiej.Malachowski@zut.edu.pl>
Inni nauczyciele
ECTS (planowane)	3,0	ECTS (formy)	3,0
Forma zaliczenia	zaliczenie	Język	polski
Blok obieralny	—	Grupa obieralna	—

Formy dydaktyczne

Forma dydaktyczna	KOD	Semestr	Godziny	ECTS	Waga	Zaliczenie
wykłady	W	7	15	1,5	0,50	zaliczenie
laboratoria	L	7	15	1,5	0,50	zaliczenie

Wymagania wstępne

KOD	Wymaganie wstępne
W-1	Programowanie 1
W-2	Podstawy technologii webowych

Cele przedmiotu

KOD	Cel modułu/przedmiotu
C-1	Zapoznanie studentów z typowymi zagrożeniami bezpieczeństwa aplikacji webowych
C-2	Zapoznanie studentów z typowymi metodami i technikami testowania aplikacji webowych
C-3	Ukształtowanie umiejętności zapobiegania zagrożeniom bezpieczeństwa aplikacji webowych
C-4	Ukształtowanie umiejętności testowania aplikacji webowych

Treści programowe z podziałem na formy zajęć

KOD	Treść programowa	Godziny
laboratoria
T-L-1	Zapewnianie dostępu w aplikacji webowej Spring Boot - konfiguracja aplikacji, autentykacja, autoryzacja dostępu do kontrolerów	2
T-L-2	Zapewnianie dostępu w web-serwisie REST - konfiguracja aplikacja, autentykacji, autoryzacja dostepu do punktów końcowych	2
T-L-3	Uzyskiwanie poświadczeń tożsamości z wykorzystaniem zewnętrznego dostawy i protokołu OAuth 2	2
T-L-4	Zabezpieczenia aplikacji webowej przed atakami typu XSS i XSRF.	2
T-L-5	Planowanie, realizacja i dokumentacja testów end-to-end na przykładowej aplikacji	2
T-L-6	Testowanie automatyczne typu end-to-end z użyciem frameworku Selenium WebDriver	3
T-L-7	Testowanie automatyczne typu end-to-end z wykorzystaniem frameworku Cypress	2
		15
wykłady
T-W-1	Zapewnianie bezpieczeństwa i kontrola dostępu w aplikacjach strony serwera - przykłady rozwiązań na podstawie frameworku Spring i komponentu Spring Security.	2
T-W-2	Bezpieczeństwo protokołu HTTP - szyfrowanie i certyfikaty, zabezpieczanie plików cookie, mechanizmy bezpieczeństwa w przeglądarkach internetowych (Same-Origin Policy, Cross-Origin Resource Sharing)	2
T-W-3	Uwierzytelnianie i zarządzanie sesją w aplikacjach webowych, protokół OAuth i standard OpenID, tokeny JWT i ich bezpieczeństwo. Zabezpieczenia połączeń protokołu Websocket.	2
T-W-4	Typowe podatności aplikacji webowych - Cros-Site Scripting, Cross-Site Request Forgery, Server-Side Request Forgery, SQL Injection, Path Traversal, Code Injection. Niebezpieczństwa związane z deserializacją.	2
T-W-5	Testowanie End-to-End w aplikacjach webowych - podejścia i metody, testowanie manualne i automatyczne, przegląd rozwiązań do testowania automatycznego	2
T-W-6	Testowanie automatyczne z użyciem Selenium WebDrvier - przegląd możliwości i obszarów zastosowań, wady i zalety, konfiugracja i wykorzystanie, wsparcie dla różnych języków programowania	2
T-W-7	Testowanie automatyczne z użyciem frameworku Cypress - przegląd możliwości i obszarów zastosowań, wady i zalety, dostępne techniki raportowania testów	2
T-W-8	Podsumowanie kursu, zaliczenie	1
		15

Obciążenie pracą studenta - formy aktywności

KOD	Forma aktywności	Godziny
laboratoria
A-L-1	uczestnictwo w zajęciach	15
A-L-2	Praca własna	22
		37
wykłady
A-W-1	uczestnictwo w zajęciach	15
A-W-2	Konsultacje	2
A-W-3	Praca własna	20
		37

Metody nauczania / narzędzia dydaktyczne

KOD	Metoda nauczania / narzędzie dydaktyczne
M-1	Wykład informacyjny
M-2	Ćwiczenia laboratoryjne

Sposoby oceny

KOD	Sposób oceny
S-1	Ocena formująca: Sprawozdania
S-2	Ocena podsumowująca: Test zaliczeniowy wielokrotnego wyboru

Zamierzone efekty uczenia się - wiedza

Zamierzone efekty uczenia się	Odniesienie do efektów kształcenia dla kierunku studiów	Odniesienie do efektów zdefiniowanych dla obszaru kształcenia	Odniesienie do efektów uczenia się prowadzących do uzyskania tytułu zawodowego inżyniera	Cel przedmiotu	Treści programowe	Metody nauczania	Sposób oceny
Itest_1A_D01.08_W01 Posiada wiedzę z zakresu testowania i zapewniania bezpieczeństwa w aplikacjach webowych.	I_1A_W05	—	—	C-1, C-2	T-W-4, T-L-5, T-W-6, T-W-3, T-W-5, T-L-3, T-W-1, T-L-2, T-L-1, T-L-4, T-W-2, T-W-7, T-W-8, T-L-6, T-L-7	M-1	S-2

Zamierzone efekty uczenia się - umiejętności

Zamierzone efekty uczenia się	Odniesienie do efektów kształcenia dla kierunku studiów	Odniesienie do efektów zdefiniowanych dla obszaru kształcenia	Odniesienie do efektów uczenia się prowadzących do uzyskania tytułu zawodowego inżyniera	Cel przedmiotu	Treści programowe	Metody nauczania	Sposób oceny
Itest_1A_D01.08_U01 Student powinien potrafić dobrać i zastosować techniki i narzędzia testowania oraz diagnozować i przeciwdziałać typowym zagrożeniom bezpieczeństwa aplikacji webowych.	I_1A_U05, I_1A_U06	—	—	C-4, C-3	T-L-6, T-L-2, T-W-1, T-L-5, T-L-1, T-L-7, T-W-7, T-W-3, T-L-3, T-L-4, T-W-4, T-W-5, T-W-6, T-W-8, T-W-2	M-2	S-1

Kryterium oceny - wiedza

Efekt uczenia się	Ocena	Kryterium oceny
Itest_1A_D01.08_W01 Posiada wiedzę z zakresu testowania i zapewniania bezpieczeństwa w aplikacjach webowych.	2,0
	3,0	Student posiada podstawową wiedzę z zakresu zagrożeń bezpieczenśtwa aplikacji webowych oraz zakresu ich testowania
	3,5
	4,0	Student posiada podstawową wiedzę z zakresu zagrożeń bezpieczenśtwa aplikacji webowych oraz potrafi właściwie dobierać metody i techniki przeciwadziałania zagrożeniom. Posiada podstawową wiedzę z zakresu testowania i interpretowania wyników testów.
	4,5
	5,0	Student posiada bardzo dobrą wiedzę z zakresu zagrożeń bezpieczenśtwa aplikacji webowych oraz potrafi właściwie dobierać metody i techniki przeciwadziałania zagrożeniom. Posiada bardzo dobrą wiedzę z zakresu testowania aplikacji webowych, interpretowania wyników oraz opracowywania strategii testów.

Kryterium oceny - umiejętności

Efekt uczenia się	Ocena	Kryterium oceny
Itest_1A_D01.08_U01 Student powinien potrafić dobrać i zastosować techniki i narzędzia testowania oraz diagnozować i przeciwdziałać typowym zagrożeniom bezpieczeństwa aplikacji webowych.	2,0
	3,0	Student opanował w stopniu podstawowym umiejętności diagnozowania zagrożeń bezpieczeństwa aplikacji webowych. Potrafi przeprowadzić podstawowe testy na aplikacji webowej.
	3,5
	4,0
	4,5
	5,0

Literatura podstawowa

Michał Bentkowski, Gynvael Coldwind ,Artur Czyż, Rafał Janicki, Jarosław Kamiński, Adrian Michalczyk, Mateusz Niezabitowski, Marcin Piosek, Michał Sajdak, Grzegorz Trawiński, Bohdan Widła, Bezpieczeństwo aplikacji webowych, SECURITUM, 2019
Hope Paco, Walther Ben, Testowanie bezpieczeństwa aplikacji internetowych. Receptury, O'Reilly/Helion, 2021
Eran Kinsbruner, Testowanie aplikacji dla programistów frontendowych, Helion, 2023

Treści programowe - laboratoria

KOD	Treść programowa	Godziny
T-L-1	Zapewnianie dostępu w aplikacji webowej Spring Boot - konfiguracja aplikacji, autentykacja, autoryzacja dostępu do kontrolerów	2
T-L-2	Zapewnianie dostępu w web-serwisie REST - konfiguracja aplikacja, autentykacji, autoryzacja dostepu do punktów końcowych	2
T-L-3	Uzyskiwanie poświadczeń tożsamości z wykorzystaniem zewnętrznego dostawy i protokołu OAuth 2	2
T-L-4	Zabezpieczenia aplikacji webowej przed atakami typu XSS i XSRF.	2
T-L-5	Planowanie, realizacja i dokumentacja testów end-to-end na przykładowej aplikacji	2
T-L-6	Testowanie automatyczne typu end-to-end z użyciem frameworku Selenium WebDriver	3
T-L-7	Testowanie automatyczne typu end-to-end z wykorzystaniem frameworku Cypress	2
		15

Treści programowe - wykłady

KOD	Treść programowa	Godziny
T-W-1	Zapewnianie bezpieczeństwa i kontrola dostępu w aplikacjach strony serwera - przykłady rozwiązań na podstawie frameworku Spring i komponentu Spring Security.	2
T-W-2	Bezpieczeństwo protokołu HTTP - szyfrowanie i certyfikaty, zabezpieczanie plików cookie, mechanizmy bezpieczeństwa w przeglądarkach internetowych (Same-Origin Policy, Cross-Origin Resource Sharing)	2
T-W-3	Uwierzytelnianie i zarządzanie sesją w aplikacjach webowych, protokół OAuth i standard OpenID, tokeny JWT i ich bezpieczeństwo. Zabezpieczenia połączeń protokołu Websocket.	2
T-W-4	Typowe podatności aplikacji webowych - Cros-Site Scripting, Cross-Site Request Forgery, Server-Side Request Forgery, SQL Injection, Path Traversal, Code Injection. Niebezpieczństwa związane z deserializacją.	2
T-W-5	Testowanie End-to-End w aplikacjach webowych - podejścia i metody, testowanie manualne i automatyczne, przegląd rozwiązań do testowania automatycznego	2
T-W-6	Testowanie automatyczne z użyciem Selenium WebDrvier - przegląd możliwości i obszarów zastosowań, wady i zalety, konfiugracja i wykorzystanie, wsparcie dla różnych języków programowania	2
T-W-7	Testowanie automatyczne z użyciem frameworku Cypress - przegląd możliwości i obszarów zastosowań, wady i zalety, dostępne techniki raportowania testów	2
T-W-8	Podsumowanie kursu, zaliczenie	1
		15

Formy aktywności - laboratoria

KOD	Forma aktywności	Godziny
A-L-1	uczestnictwo w zajęciach	15
A-L-2	Praca własna	22
		37

(*) 1 punkt ECTS, odpowiada około 30 godzinom aktywności studenta

Formy aktywności - wykłady

KOD	Forma aktywności	Godziny
A-W-1	uczestnictwo w zajęciach	15
A-W-2	Konsultacje	2
A-W-3	Praca własna	20
		37

(*) 1 punkt ECTS, odpowiada około 30 godzinom aktywności studenta

Pole	KOD	Znaczenie kodu
Zamierzone efekty uczenia się	Itest_1A_D01.08_W01	Posiada wiedzę z zakresu testowania i zapewniania bezpieczeństwa w aplikacjach webowych.
Odniesienie do efektów kształcenia dla kierunku studiów	I_1A_W05	Ma wiedzę o nowoczesnych metodach projektowania, analizowania, wytwarzania, testowania oprogramowania oraz rozwiązywania wybranych zadań inżynierskich obejmujących w szczególności narzędzia wspomagające wytwarzanie oprogramowania na różnych etapach powstawania, eksploatacji i rozwoju systemów informatycznych.
Cel przedmiotu	C-1	Zapoznanie studentów z typowymi zagrożeniami bezpieczeństwa aplikacji webowych
Cel przedmiotu	C-2	Zapoznanie studentów z typowymi metodami i technikami testowania aplikacji webowych
Treści programowe	T-W-4	Typowe podatności aplikacji webowych - Cros-Site Scripting, Cross-Site Request Forgery, Server-Side Request Forgery, SQL Injection, Path Traversal, Code Injection. Niebezpieczństwa związane z deserializacją.
	T-L-5	Planowanie, realizacja i dokumentacja testów end-to-end na przykładowej aplikacji
	T-W-6	Testowanie automatyczne z użyciem Selenium WebDrvier - przegląd możliwości i obszarów zastosowań, wady i zalety, konfiugracja i wykorzystanie, wsparcie dla różnych języków programowania
	T-W-3	Uwierzytelnianie i zarządzanie sesją w aplikacjach webowych, protokół OAuth i standard OpenID, tokeny JWT i ich bezpieczeństwo. Zabezpieczenia połączeń protokołu Websocket.
	T-W-5	Testowanie End-to-End w aplikacjach webowych - podejścia i metody, testowanie manualne i automatyczne, przegląd rozwiązań do testowania automatycznego
	T-L-3	Uzyskiwanie poświadczeń tożsamości z wykorzystaniem zewnętrznego dostawy i protokołu OAuth 2
	T-W-1	Zapewnianie bezpieczeństwa i kontrola dostępu w aplikacjach strony serwera - przykłady rozwiązań na podstawie frameworku Spring i komponentu Spring Security.
	T-L-2	Zapewnianie dostępu w web-serwisie REST - konfiguracja aplikacja, autentykacji, autoryzacja dostepu do punktów końcowych
	T-L-1	Zapewnianie dostępu w aplikacji webowej Spring Boot - konfiguracja aplikacji, autentykacja, autoryzacja dostępu do kontrolerów
	T-L-4	Zabezpieczenia aplikacji webowej przed atakami typu XSS i XSRF.
	T-W-2	Bezpieczeństwo protokołu HTTP - szyfrowanie i certyfikaty, zabezpieczanie plików cookie, mechanizmy bezpieczeństwa w przeglądarkach internetowych (Same-Origin Policy, Cross-Origin Resource Sharing)
	T-W-7	Testowanie automatyczne z użyciem frameworku Cypress - przegląd możliwości i obszarów zastosowań, wady i zalety, dostępne techniki raportowania testów
	T-W-8	Podsumowanie kursu, zaliczenie
	T-L-6	Testowanie automatyczne typu end-to-end z użyciem frameworku Selenium WebDriver
	T-L-7	Testowanie automatyczne typu end-to-end z wykorzystaniem frameworku Cypress
Metody nauczania	M-1	Wykład informacyjny
Sposób oceny	S-2	Ocena podsumowująca: Test zaliczeniowy wielokrotnego wyboru
Kryteria oceny	Ocena	Kryterium oceny
	2,0
	3,0	Student posiada podstawową wiedzę z zakresu zagrożeń bezpieczenśtwa aplikacji webowych oraz zakresu ich testowania
	3,5
	4,0	Student posiada podstawową wiedzę z zakresu zagrożeń bezpieczenśtwa aplikacji webowych oraz potrafi właściwie dobierać metody i techniki przeciwadziałania zagrożeniom. Posiada podstawową wiedzę z zakresu testowania i interpretowania wyników testów.
	4,5
	5,0	Student posiada bardzo dobrą wiedzę z zakresu zagrożeń bezpieczenśtwa aplikacji webowych oraz potrafi właściwie dobierać metody i techniki przeciwadziałania zagrożeniom. Posiada bardzo dobrą wiedzę z zakresu testowania aplikacji webowych, interpretowania wyników oraz opracowywania strategii testów.

Pole	KOD	Znaczenie kodu
Zamierzone efekty uczenia się	Itest_1A_D01.08_U01	Student powinien potrafić dobrać i zastosować techniki i narzędzia testowania oraz diagnozować i przeciwdziałać typowym zagrożeniom bezpieczeństwa aplikacji webowych.
Odniesienie do efektów kształcenia dla kierunku studiów	I_1A_U05	Potrafi zaplanować i zrealizować eksperymenty w zakresie oceny wydajności, złożoności, efektywności systemów informatycznych i ich składowych.
Odniesienie do efektów kształcenia dla kierunku studiów	I_1A_U06	Potrafi pozyskiwać, przesyłać, przetwarzać dane, podsumowywać wyniki eksperymentów empirycznych, dokonywać interpretacji uzyskanych wyników i formułować wynikające z nich wnioski.
Cel przedmiotu	C-4	Ukształtowanie umiejętności testowania aplikacji webowych
Cel przedmiotu	C-3	Ukształtowanie umiejętności zapobiegania zagrożeniom bezpieczeństwa aplikacji webowych
Treści programowe	T-L-6	Testowanie automatyczne typu end-to-end z użyciem frameworku Selenium WebDriver
	T-L-2	Zapewnianie dostępu w web-serwisie REST - konfiguracja aplikacja, autentykacji, autoryzacja dostepu do punktów końcowych
	T-W-1	Zapewnianie bezpieczeństwa i kontrola dostępu w aplikacjach strony serwera - przykłady rozwiązań na podstawie frameworku Spring i komponentu Spring Security.
	T-L-5	Planowanie, realizacja i dokumentacja testów end-to-end na przykładowej aplikacji
	T-L-1	Zapewnianie dostępu w aplikacji webowej Spring Boot - konfiguracja aplikacji, autentykacja, autoryzacja dostępu do kontrolerów
	T-L-7	Testowanie automatyczne typu end-to-end z wykorzystaniem frameworku Cypress
	T-W-7	Testowanie automatyczne z użyciem frameworku Cypress - przegląd możliwości i obszarów zastosowań, wady i zalety, dostępne techniki raportowania testów
	T-W-3	Uwierzytelnianie i zarządzanie sesją w aplikacjach webowych, protokół OAuth i standard OpenID, tokeny JWT i ich bezpieczeństwo. Zabezpieczenia połączeń protokołu Websocket.
	T-L-3	Uzyskiwanie poświadczeń tożsamości z wykorzystaniem zewnętrznego dostawy i protokołu OAuth 2
	T-L-4	Zabezpieczenia aplikacji webowej przed atakami typu XSS i XSRF.
	T-W-4	Typowe podatności aplikacji webowych - Cros-Site Scripting, Cross-Site Request Forgery, Server-Side Request Forgery, SQL Injection, Path Traversal, Code Injection. Niebezpieczństwa związane z deserializacją.
	T-W-5	Testowanie End-to-End w aplikacjach webowych - podejścia i metody, testowanie manualne i automatyczne, przegląd rozwiązań do testowania automatycznego
	T-W-6	Testowanie automatyczne z użyciem Selenium WebDrvier - przegląd możliwości i obszarów zastosowań, wady i zalety, konfiugracja i wykorzystanie, wsparcie dla różnych języków programowania
	T-W-8	Podsumowanie kursu, zaliczenie
	T-W-2	Bezpieczeństwo protokołu HTTP - szyfrowanie i certyfikaty, zabezpieczanie plików cookie, mechanizmy bezpieczeństwa w przeglądarkach internetowych (Same-Origin Policy, Cross-Origin Resource Sharing)
Metody nauczania	M-2	Ćwiczenia laboratoryjne
Sposób oceny	S-1	Ocena formująca: Sprawozdania
Kryteria oceny	Ocena	Kryterium oceny
	2,0
	3,0	Student opanował w stopniu podstawowym umiejętności diagnozowania zagrożeń bezpieczeństwa aplikacji webowych. Potrafi przeprowadzić podstawowe testy na aplikacji webowej.
	3,5
	4,0
	4,5
	5,0