Un business flow è la sequenza di passaggi dell’applicazione che completa un’attività del mondo reale, come creare un account, prenotare una riservazione, cancellare un biglietto o modificare un metodo di pagamento. A differenza di una singola chiamata API, include l’ordine previsto, le modifiche di stato e le regole che rendono valida l’attività.
Nel campo della sicurezza informatica, i business flow sono importanti perché gli attaccanti spesso prendono di mira il flusso di lavoro, non solo l’accesso. Se un server si fida troppo del client, un attaccante può saltare dei passaggi, ripetere azioni, modificare identificatori o attivare un’azione fuori dallo stato consentito. Le difese includono l’autorizzazione lato server in ogni passaggio, una rigorosa validazione dello stato, il privilegio minimo, il rate limiting e test per richieste fuori ordine o tra utenti diversi. Controlli solidi del business flow aiutano a prevenire prenotazioni non autorizzate, cancellazioni, frodi e altri attacchi all’integrità.