Angebot: 47997 - KU - Trainer für Secure UI5 & CAP/CDS Development gesucht - 1 Tag Remote

Projektbeschreibung

 

Mit der Nutzung der männlichen Form des Wortes „Berater / Entwickler etc.“ sind alle Geschlechtsformen weiblich/männlich/divers gemeint

 

 

Mit dieser Anfrage suchen wir einen Trainer für Secure UI5 & CAP/CDS Development

 

 

Tätigkeit:

Trainingsdurchführung mit folgendem Inhalt

 

Entwickler-Training: Secure UI5 & CAP/CDS Development

1-Tages-Intensivagenda für Secure Coding im SAP-Umfeld

 

Modul 1: Die UI5-Angriffsfläche verstehen

• Fokus: Wie Angreifer Ihre App analysieren und gezielt Informationen sammeln.
• Hands-on: Nutzen der Browser-DevTools und des UI5-Diagnosetools (Ctrl+Alt+Shift+S), um die Struktur, Models und sensible Daten direkt im Speicher (RAM) offenzulegen.
• Defense: Minimierung von produktiven Logging-Informationen, Verbergen von Test-Daten in produktiven Releases und Absichern der Konfigurationsdateien (manifest.json).

 

Modul 2: Client-Side Security & UI5 Controls

• Fokus: Input-Validierung und Cross-Site Scripting (XSS) im Frontend gezielt verhindern.
• Hands-on: Ausnutzen von Custom Formatters oder Custom Controls, die HTML-Inhalte ungefiltert rendern (z.B. durch sap.ui.core.HTML oder unsicheres String-Concatenation).
• Defense: Richtiges Escaping mit sap.base.security.encodeXML/HTML, Nutzung sicherer Standard-Controls (sap.m.Text) und Implementierung einer Content Security Policy (CSP) speziell für UI5.

 

Modul 3: Das "Zero Trust"-Prinzip für APIs & CDS-Services

• Fokus: Warum das UI5-Frontend niemals als Sicherheitsbarriere dient und wie CAP-Services im Kern abgesichert werden.
• Hands-on: Manipulation von Werten (z.B. Preise, Statusfelder) direkt im HTTP-Request. Umgehen von clientseitigen Attributen wie visible="false" oder editable="false".
• Defense (CAP/CDS Focus): Deklarative Zugriffskontrolle direkt in der Servicedefinition (.cds). Nutzung von @requires für rollenbasierte Absicherung (RBAC) und Implementierung von Access Control / ACS (@restrict) für instanzbasierte Berechtigungen (z.B. zeilenbasierte Mandantentrennung).

 

Modul 4: Session-, Token- & Kontext-Management

• Fokus: CSRF-Schutz, JWT-Validierung und der sichere Benutzerkontext in CAP.
• Hands-on: Versuch, über manipulierte JSON Web Tokens (JWT) oder fehlende CSRF-Absicherung unautorisierte API-Aufrufe an die CAP-Applikation abzusetzen.
• Defense: Korrekte Anbindung des XSUAA-Services auf der SAP BTP, Validierung von JWT-Tokens im Node.js/Java-Backend von CAP und automatische Auswertung des Benutzerkontexts ($user) innerhalb der CDS-Sicherheitsregeln.

 

Modul 5: Best Practices & Tooling für den Entwicklungsalltag

• Fokus: Automatisierung und kontinuierliche Code-Qualität im CI/CD-Prozess.
• Inhalt: Integration von Security-Lintern (wie ESLint mit UI5-Plugins) direkt in die IDE, statische Analyse von CDS-Dateien auf fehlende Sicherheitsannotationen (CAP-Linter) und eine offene Abschlussdiskussion zu Ihren aktuellen Cloud-Architektur-Herausforderungen.

 

 

 

Projektsprache:

Deutsch

 

Auslastung:

1 Tag Schulung + ggf. Unterlagenerstellung / Überarbeitung

 

Honorar:

bitte benennen Sie uns Ihren Tagessatz

 

Zahlungsziel:

30 Tage

 

 

 

 

 

Sonstiges

 

 

 

 

Beginn

asap

 

Laufzeit / Ende

1 Tag

 

Ort

Remote

 

 

Sollten Sie uns in dieser Angelegenheit unterstützen können, so bitten wir um die Zusendung geeigneter Profile.

Bitte denken Sie bei Ihrem Angebot daran, dass wir das CV als Word-Datei benötigen.

Des weiteren sind Sie bitte so nett und benennen uns das Honorar bzw. bestätigen Sie uns die Honorarvorgabe.