Cometi o erro de segurança mais bobo possível

Recentemente nós sofremos um exploit de uma vulnerabilidade lá no nosso portal de cursos gratuitos aqui do canal. Isso significa que uma pessoa mal intencionada explorou uma vulnerabilidade da nossa aplicação para usar isso em seu benefício. E eu confesso para vocês que essa vulnerabilidade era um erro super bobo e super tosco que eu deixei passar no código do portal. E no vídeo de hoje eu vou mostrar para vocês qual foi esse erro, como que funcionava essa vulnerabilidade e como que a gente pode corrigir para não passar por esse problema. Então, sem mais enrolações, bora pro vídeo. Então, galera, como que funcionava essa vulnerabilidade? A pessoa mal intencionada, ela criou uma conta aqui no nosso portal de cursos gratuitos. Então, ela veio aqui pela página home, fez o seu login, criou uma conta e conseguiu acesso ao dashboard. Até aí tudo bem, nenhum mistério, qualquer um pode criar uma conta, o portal é gratuito mesmo. Mas o ataque vinha nessa parte aqui. Quando o aluno cria uma conta, ele começa com zero créditos na sua conta. E aí para conseguir emitir os certificados, ele precisa colocar um crédito que tem um custo ali, uma taxinha, né, pra gente fazer emissão de certificado. Ou ele pode ter a nossa assinatura mensal aqui do canal, que a assinatura mensal ela dá acesso a um crédito mensal, né, que é renovado ali todo mês. Então, todo mês o aluno ganha um crédito e também dá acesso às lives gravadas que eu faço aqui só pros alunos que têm a assinatura. E o que que o atacante fez, tá? através de uma requisição, só uma requisição, essa pessoa conseguia colocar créditos infinitos na conta dela. E eu vou mostrar para vocês como é que funcionava. Então, o atacante vinha aqui nesse end point de barra users, certo? E enviava uma requisição com quantos créditos ele quisesse. Então, digamos aqui, eu vou colocar 50 créditos, vou enviar a requisição e o back end me retorna, ó, 200. OK? E se a gente olhar lá no nosso frontend agora, der um reload aqui, já vai est aparecendo 50 créditos avulsos, certo? Ou seja, com pouco esforço a pessoa já conseguia colocar quantos créditos ela quisesse na sua conta, sem precisar pagar por esse crédito e nem pagar pela nossa assinatura. E agora eu vou mostrar para vocês que como era bobo esse erro, né? E como que a gente pode corrigir ele, pessoal.