תכנות Back-end

מחרוזת חיפוש משנה את השאלה

• חיפוש לפי שם מקבל ' OR 1=1 --. אם קוד מדביק אותו ל-SQL, הטקסט עשוי לשנות את התנאי במקום להישאר שם.
• Route (מסלול) מתווך שיטת בקשה ומרחב עבודה לייעודן שלו. שמרו על חוזק המסלול ברור לפני ביצוע החיפוש.

בדקו צורה ורשות

• Validate input (אישור קלט) פירושו בדיקת ערכים נדרשים, סוגים, אורכים מותרים וטווחים. בדקו את הרשות של הקורא בנפרד.
• Status (מצב) מתאר את התוצאה: 200 לחיפוש מוצלח זה, 400 לקלט לא תקף ו404 למשאב שאינו קיים. כישלונות רשות דורשים את המדיניות המקובלת של האפליקציה; הם אינם בהכרח קלט לא תקף.

שמור ערכים מחוץ לטקסט SQL

• הזרקת SQL מתרחשת כאשר טקסט שאינו אמין הופך לחלק מהסינטקס של SQL. שאלה ממוחצנת קושרת ערך בנפרד מהביטוי.
• מקומות חלופיים קושרים ערכים, ולא שמות טבלות או כיווני מיון שרירותיים. בחר בזיהויים מסוג זה מרשימת אישור מובנית בצד השרת כאשר נתיב דורש אותם.

הפעל דוגמה מקומית מלאה

• שמור והפעל דוגמה זו ב-Python באמצעות SQLite. השרטוט המיוחד מאוחסן כשם, ואז נחפש כערך קושר.
• התוצאה תכיל רק את השורה הממוינת. הקישור מונע מהערך הזה להפוך לסינטקס SQL; הוא לא מבטיח הרשאות או הופך כל אפליקציה לבטוחה.

import sqlite3

con = sqlite3.connect(":memory:")
con.execute("CREATE TABLE students (id INTEGER PRIMARY KEY, name TEXT)")
name = "' OR 1=1 --"
con.executemany("INSERT INTO students VALUES (?, ?)", [(1, "Mei"), (2, name)])
rows = con.execute("SELECT id FROM students WHERE name = ?", (name,)).fetchall()
print(rows)  # [(2,)]
con.close()

שמור על כשליות שימועיות ופרטיות

• ספק לדפדפן הודעה ברורה שבה יכול לפעול, כמו שדה לא תקין או כשל זמני. אל תחזיר שגיאות SQL גולמיות, נתוני זיהוי פרטיים או עקבות מצטברות.
• רשום פרטים דיאגנוסטיים רק ביומני הגישה המוגנים עם הסרת הערכים הרגישים. רשום מספיק הקשר כדי לבצע בדיקה ללא העתקת גוף הבקשה הפרטי לכלו.

ודא יותר מסלול הצלחה

• בדוק קלט תקין, חסר, שגוי-סוג וגדול-מעבר; גישה מוסרת; התאמה ריקה וכשל מאגר נתונים מדומה. ציין את התוצאה המצופה עבור כל אחת.
• שמור על כל ערך דינמי קושר, כולל ערכי תפריט נפתח. רשימת הדפדפן אינה מונעת מישהו לשלוח ערך אחר ישירות.