Validation complète côté serveur

Question

J'ai actuellement un système de validation côté serveur assez robuste, mais je cherche des commentaires pour m'assurer d'avoir couvert tous les angles. Voici un bref aperçu de ce que je fais en ce moment:

• Assurez-vous que l'entrée est pas vide, ou est trop long

• chaînes de requête Escape pour empêcher l'injection SQL

• Utilisation d'expressions régulières pour rejeter les caractères non valides (cela dépend de ce qui est soumis)

• Codage de certaines balises html, comme <script> (toutes les balises sont codées) lorsqu'ils sont stockés dans une base de données, certains étant décodé lors d'une interrogation pour rendre dans la page)

Est-ce que je suis absent? Échantillons de code ou expressions régulières bienvenus.

Answer 1

Vous ne devriez pas avoir besoin de "échapper" des chaînes de requête pour empêcher l'injection SQL - vous devriez plutôt utiliser des instructions préparées.

Idéalement, votre filtrage d'entrée aura lieu avant tout autre traitement, de sorte que vous savez qu'il sera toujours utilisé. Parce que sinon, il suffit de manquer un point pour être vulnérable à un problème. N'oubliez pas d'encoder les entités HTML en sortie - pour éviter les attaques XSS.

Answer 2

Vous devez encoder toutes les balises html, et pas seulement celles "invalides". C'est un débat brûlant, mais au fond, il y aura toujours une combinaison HTML invalide que vous oublierez de gérer correctement (balises imbriquées, balises non concordantes que certains navigateurs interprètent correctement, etc.). Donc, l'option la plus sûre à mon avis est de stocker tout en tant que htmlentities et ensuite, en sortie, imprimer une arborescence de sous-ensemble HTML-safe validée (en tant qu'entités) à partir du contenu.

Answer 3

Exécutez toute la validation côté serveur dans une bibliothèque dédiée à la tâche afin que les améliorations dans une zone affectent l'ensemble de votre application.

De plus, incluez le travail contre les attaques connues, telles que la traversée de répertoire et les tentatives d'accès au shell.

Answer 4

Cette question/réponse a quelques bonnes réponses que vous cherchez
(PHP orienté, mais encore une fois vous ne spécifiez pas la langue/plate-forme et certaines d'entre elles applique au-delà du monde php):

What's the best method for sanitizing user input with PHP?

Answer 5

Vous pouvez vérifier le Filter Extension pour le filtrage des données. Cela ne garantit pas que vous êtes complètement hermétique, mais personnellement, je me sens beaucoup mieux de l'utiliser parce que ce code a beaucoup de regards sur lui.

En outre, considérons les instructions préparées en second lieu. L'échappement des données dans vos requêtes SQL appartient au passé.