Бэкенд-программирование

Строка поиска изменяет запрос

• Поиск по имени получает ' OR 1=1 --. Если код вставляет его в SQL-запрос, текст может изменить условие вместо того, чтобы оставаться именем.
• Маршрут сопоставляет метод и путь запроса с обработчиком. Сохраняйте четкость контракта маршрута до реализации поиска.

Проверяйте структуру данных и права доступа

• Валидация ввода означает проверку наличия обязательных значений, типов, допустимой длины и диапазонов. Права вызывающего субъекта проверяются отдельно.
• Статус описывает результат: 200 для успешного поиска, 400 для некорректного ввода и 404 для отсутствующего ресурса. Сбои прав доступа требуют применения согласованной политикой приложения; они автоматически не являются ошибкой ввода.

Храните значения вне текста SQL-запроса

• SQL-инъекция возникает, когда недоверенный текст становится частью синтаксиса SQL. Параметризованный запрос связывает значение отдельно от самого запроса.
• Заполнители привязывают значения, а не произвольные имена таблиц или направления сортировки. Выбирайте такие идентификаторы из фиксированного списка разрешенных элементов на стороне сервера, если маршрут требует их использования.

Запустите полный локальный пример

• Сохраните и запустите этот пример на Python с использованием SQLite. Необычная строка сохраняется как имя, затем ищется как привязанное значение.
• Результат содержит только строку с этим именем. Привязка предотвращает превращение этого значения в SQL-синтаксис; она не устанавливает права доступа и не делает любое приложение безопасным.

import sqlite3

con = sqlite3.connect(":memory:")
con.execute("CREATE TABLE students (id INTEGER PRIMARY KEY, name TEXT)")
name = "' OR 1=1 --"
con.executemany("INSERT INTO students VALUES (?, ?)", [(1, "Mei"), (2, name)])
rows = con.execute("SELECT id FROM students WHERE name = ?", (name,)).fetchall()
print(rows)  # [(2,)]
con.close()

Сохраняйте ошибки полезными и приватными

• Предоставьте браузеру четкое сообщение, которое он может обработать, например, об ошибке в поле или временном сбое. Не возвращайте сырые SQL-ошибки, конфиденциальные учетные данные или стековые трассировки.
• Записывайте детали диагностики только в защищенные логи, удаляя чувствительные значения. Лог достаточно контекста для расследования, не копируя каждое тело приватного запроса.

Проверяйте больше, чем успешный путь

• Проверяйте валидные, отсутствующие, неправильного типа и слишком большие входные данные; отказ в доступе; пустой результат поиска; и симуляцию сбоя базы данных. Указывайте ожидаемый результат для каждого случая.
• Держите все динамические значения привязанными, включая значения из выпадающих списков. Список браузера не предотвращает отправку другого значения напрямую.