Lập trình back-end

Chuỗi tìm kiếm thay đổi truy vấn

• Một cuộc tìm kiếm theo tên nhận được ' OR 1=1 --. Nếu mã chèn trực tiếp văn bản này vào SQL, văn bản đó có thể làm thay đổi điều kiện thay vì vẫn giữ nguyên là một tên.
• Một đường dẫn (route) ánh xạ phương pháp và đường dẫn yêu cầu đến hàm xử lý tương ứng. Hãy giữ hợp đồng đường dẫn rõ ràng trước khi triển khai việc tra cứu.

Kiểm tra cấu trúc và quyền hạn

• Xác thực đầu vào nghĩa là kiểm tra các giá trị bắt buộc, kiểu dữ liệu, độ dài được phép và phạm vi. Hãy kiểm tra quyền hạn của người gọi riêng biệt.
• Một trạng thái (status) mô tả kết quả: 200 cho việc tra cứu thành công này, 400 cho đầu vào không hợp lệ và 404 cho tài nguyên không tồn tại. Các trường hợp thất bại về quyền hạn cần tuân theo chính sách đã thống nhất của ứng dụng; chúng không tự động là đầu vào sai.

Giữ các giá trị bên ngoài văn bản SQL

• Lỗi chèn SQL (SQL injection) xảy ra khi văn bản không đáng tin cậy trở thành một phần của cú pháp SQL. Một truy vấn tham số hóa (parameterised query) liên kết một giá trị riêng biệt với câu lệnh.
• Các ký hiệu placeholder liên kết các giá trị, không phải tên bảng tùy ý hay hướng sắp xếp. Hãy chọn các định danh như vậy từ một danh sách trắng cố định trên máy chủ khi một đường dẫn yêu cầu chúng.

Chạy một ví dụ cục bộ hoàn chỉnh

• Lưu và chạy ví dụ Python này bằng SQLite. Chuỗi bất thường được lưu dưới dạng tên, sau đó tìm kiếm như một giá trị đã gắn.
• Kết quả chỉ chứa dòng có tên đó. Gắn giá trị ngăn không cho nó trở thành cú pháp SQL; điều này không thiết lập quyền hay làm cho mọi ứng dụng an toàn.

import sqlite3

con = sqlite3.connect(":memory:")
con.execute("CREATE TABLE students (id INTEGER PRIMARY KEY, name TEXT)")
name = "' OR 1=1 --"
con.executemany("INSERT INTO students VALUES (?, ?)", [(1, "Mei"), (2, name)])
rows = con.execute("SELECT id FROM students WHERE name = ?", (name,)).fetchall()
print(rows)  # [(2,)]
con.close()

Giữ các lỗi hữu ích và riêng tư

• Gửi cho trình duyệt một thông điệp rõ ràng mà nó có thể xử lý, chẳng hạn như trường hợp không hợp lệ hoặc sự cố tạm thời. Không trả về lỗi SQL thô, thông tin xác thực riêng tư hoặc stack trace.
• Ghi lại chi tiết chẩn đoán chỉ trong nhật ký được bảo vệ với các giá nhạy cảm đã bị loại bỏ. Ghi đủ ngữ cảnh để điều tra mà không cần sao chép toàn bộ nội dung yêu cầu riêng tư.

Kiểm chứng nhiều hơn cả đường dẫn thành công

• Kiểm tra đầu vào hợp lệ, thiếu, sai kiểu và quá lớn; truy cập bị từ chối; kết quả khớp rỗng; và sự cố cơ sở dữ liệu mô phỏng. Nêu kết quả mong đợi cho từng trường hợp.
• Giữ mọi giá trị động đã gắn, bao gồm cả giá trị của danh sách thả xuống. Danh sách trên trình duyệt không ngăn chặn việc ai đó gửi trực tiếp một giá trị khác.