Trainer für Secure UI5 & CAP/CDS Development gesucht - 1 Tag Remote

Project overview

Ihr Ansprechpartner zu dieser Anfrage

Kerstin Ufer

Tel.: [contact removed]

E-Mail: [contact removed]

Mit der Nutzung der männlichen Form des Wortes „Berater / Entwickler etc.“ sind alle Geschlechtsformen weiblich/männlich/divers gemeint

Mit dieser Anfrage suchen wir einen Trainer für Secure UI5 & CAP/CDS Development

Tätigkeit:

Trainingsdurchführung mit folgendem Inhalt

Entwickler-Training: Secure UI5 & CAP/CDS Development

1-Tages-Intensivagenda für Secure Coding im SAP-Umfeld

Modul 1: Die UI5-Angriffsfläche verstehen

Modul 2: Client-Side Security & UI5 Controls

Modul 3: Das "Zero Trust"-Prinzip für APIs & CDS-Services

Modul 4: Session-, Token- & Kontext-Management

Modul 5: Best Practices & Tooling für den Entwicklungsalltag

Projektsprache:

Deutsch

• Fokus: Wie Angreifer Ihre App analysieren und gezielt Informationen sammeln.
• Hands-on: Nutzen der Browser-DevTools und des UI5-Diagnosetools (Ctrl+Alt+Shift+S), um die Struktur, Models und sensible Daten direkt im Speicher (RAM) offenzulegen.
• Defense: Minimierung von produktiven Logging-Informationen, Verbergen von Test-Daten in produktiven Releases und Absichern der Konfigurationsdateien (manifest.json).
• Fokus: Input-Validierung und Cross-Site Scripting (XSS) im Frontend gezielt verhindern.
• Hands-on: Ausnutzen von Custom Formatters oder Custom Controls, die HTML-Inhalte ungefiltert rendern (z.B. durch sap.ui.core.HTML oder unsicheres String-Concatenation).
• Defense: Richtiges Escaping mit sap.base.security.encodeXML/HTML, Nutzung sicherer Standard-Controls (sap.m.Text) und Implementierung einer Content Security Policy (CSP) speziell für UI5.
• Fokus: Warum das UI5-Frontend niemals als Sicherheitsbarriere dient und wie CAP-Services im Kern abgesichert werden.
• Hands-on: Manipulation von Werten (z.B. Preise, Statusfelder) direkt im HTTP-Request. Umgehen von clientseitigen Attributen wie visible="false" oder editable="false".
• Defense (CAP/CDS Focus): Deklarative Zugriffskontrolle direkt in der Servicedefinition (.cds). Nutzung von @requires für rollenbasierte Absicherung (RBAC) und Implementierung von Access Control / ACS (@restrict) für instanzbasierte Berechtigungen (z.B. zeilenbasierte Mandantentrennung).
• Fokus: CSRF-Schutz, JWT-Validierung und der sichere Benutzerkontext in CAP.
• Hands-on: Versuch, über manipulierte JSON Web Tokens (JWT) oder fehlende CSRF-Absicherung unautorisierte API-Aufrufe an die CAP-Applikation abzusetzen.
• Defense: Korrekte Anbindung des XSUAA-Services auf der SAP BTP, Validierung von JWT-Tokens im Node.js/Java-Backend von CAP und automatische Auswertung des Benutzerkontexts ($user) innerhalb der CDS-Sicherheitsregeln.
• Fokus: Automatisierung und kontinuierliche Code-Qualität im CI/CD-Prozess.
• Inhalt: Integration von Security-Lintern (wie ESLint mit UI5-Plugins) direkt in die IDE, statische Analyse von CDS-Dateien auf fehlende Sicherheitsannotationen (CAP-Linter) und eine offene Abschlussdiskussion zu Ihren aktuellen Cloud-Architektur-Herausforderungen.

Project details

1 Tag Schulung + ggf. Unterlagenerstellung / Überarbeitung

Honorar:

bitte benennen Sie uns Ihren Tagessatz

Zahlungsziel:

30 Tage

Sonstiges

Beginn

asap

Laufzeit / Ende

1 Tag

Ort

Sollten Sie uns in dieser Angelegenheit unterstützen können, so bitten wir um die Zusendung geeigneter Profile.

Bitte denken Sie bei Ihrem Angebot daran, dass wir das CV als Word-Datei benötigen.

Des weiteren sind Sie bitte so nett und benennen uns das Honorar bzw. bestätigen Sie uns die Honorarvorgabe.

Beginn / Ende

Wenn Sie uns ein qualifiziertes Angebot zu dieser Anfrage unterbreiten können, senden Sie uns bitte ein aussagekräftiges Profil zu, inkl. einer konkreten Aussage zur Verfügbarkeit und den Konditionen. Bitte beachten Sie, daß wir Ihre uns überlassenen Daten ausschließlich zweckgebunden nach §5 BDSG zur Vermittlung von Projekteinsätzen verwenden. Eine Weitergabe an Dritte im Rahmen dieses Zweckes erfolgt nur nach Einholung Ihrer Zustimmung. Vielen Dank schon jetzt für Ihre Unterstützung.