バックエンドプログラミング

検索文字列はクエリを変更する

• 名前検索に対して' OR 1=1 --を受け取ります。もしこの値をSQLに貼り付けた場合、テキストは名前のままではなく条件を変えてしまう可能性があります。
• ルートは、リクエストメソッドとパスを(handler)にマッピングします。照合を実装する前にルートの契約を明確に保ってください。

形状と権限を確認する

• 入力の検証とは、必須値、型、許可された長さ、範囲の確認を意味します。呼び出し元の権限は別に確認してください。
• ステータスは結果を説明します。成功した照合には200、無効な入力には400、存在しないリソースには404を使用します。権限違反については、アプリの合意したポリシーに従う必要があります。これらは自動的に無効な入力ではありません。

値をSQL文本の外に保持する

• SQLインジェクションは、信頼できないテキストがSQL構文の一部となることで発生します。パラメータ化されたクエリでは、値をステートメントとは別にバインドします。
• プレイスホルダーは値をバインドするものであり、任意のテーブル名やソート方向ではありません。ルートにそれらが必要な場合は、固定されたサーバーサイドの許可リストからこれらの識別子を選択してください。

完全なローカル例を実行する

• SQLiteを使用してこのPython例を保存して実行します。特殊な文字列は名前として保存され、その後、バインドされた値として検索されます。
• 結果にはその名前付きの行のみが含まれます。バインドにより、この値がSQL構文になるのを防ぎますが、権限を付与したり、すべてのアプリケーションを安全にしたりするものではありません。

import sqlite3

con = sqlite3.connect(":memory:")
con.execute("CREATE TABLE students (id INTEGER PRIMARY KEY, name TEXT)")
name = "' OR 1=1 --"
con.executemany("INSERT INTO students VALUES (?, ?)", [(1, "Mei"), (2, name)])
rows = con.execute("SELECT id FROM students WHERE name = ?", (name,)).fetchall()
print(rows)  # [(2,)]
con.close()

エラーを有用かつプライバシー保護の状態に保つ

• ブラウザに対して、無効なフィールドや一時的な失敗など、処理可能な明確なメッセージを提供してください。生のSQLエラー、プライベートな資格情報、またはスタックトレースを返さないでください。
• 敏感な値を除去した保護されたログに診断詳細を記録してください。調査に必要なコンテキストを十分記録し、すべてのプライベートなリクエスト本文をコピーする必要はありません。

ハッピーパスだけでなく検証する

• 有効な入力、欠落している入力、誤ったタイプ、過大な入力の確認、アクセス拒否、一致なし、およびシミュレートされたデータベースの故障をチェックしてください。それぞれについて期待される結果を明記してください。
• ドロップダウンの値を含むすべての動的値をバインドし続けてください。ブラウザのリストは、別の値を直接送信することを防止するものではありません。