sanityzacja danych wejściowych sprawdzanie poprawności VS

Question

Wprowadziłem sprawdzanie poprawności danych wejściowych dla wszystkich danych wejściowych za pomocą php (jak również js na interfejsie użytkownika). Używam odlewania w typie, gdzie mogę, sprawdzając poprawność takich rzeczy jak e-maile w wyrażeniu regularnym, upewniając się, że wartości rozwijane są tylko tymi, których się spodziewam, a także w wielu przypadkach, w których oczekuję tylko ciągu znaków. Mam regex, który działa, co pozwala tylko litery, cyfry i spacje. Wszystko, co nie spełnia tych reguł, powoduje, że sprawdzanie poprawności nie działa, a zapytania sql nie są uruchamiane.

Powiedziawszy to, jeśli mój formularz przejdzie sprawdzanie poprawności, zakładam, że można go bezpiecznie wprowadzić do bazy danych (co robię przez pdo), a następnie uciekam na wyjściu.

Więc z tym powiedziałem, dlaczego potrzebuję sanityzacji wejściowej?

Answer 1

Jeśli masz bardzo ścisłą weryfikację po stronie serwera, nie musisz sanatyzować. Na przykład. sprawdzanie ciągu znaków na/^ [a-z0-9] {5,25} $/nie będzie wymagało żadnego odkażania (usunięcie znaków niealfanumerycznych nie będzie miało sensu, ponieważ i tak nie powinny one być przekazywane).

Tylko upewnij się, że możesz sprawdzić wszystkie dane, a jeśli to niemożliwe (np. Z html, to jest trochę trudne), możesz użyć strategii ucieczki lub rzeczy takich jak html purifier.

Na dobry przegląd na uciekających strategii zapobiegania XSS: zobaczyć https://www.owasp.org/index.php/XSS_%28Cross_Site_Scripting%29_Prevention_Cheat_Sheet

Na pomysł różnymi zagrożeniami: https://www.owasp.org/index.php/PHP_Security_Cheat_Sheet

Answer 2

Potrzebujesz obu. Sprawdzanie poprawności danych wejściowych jest łatwe do pokonania po stronie klienta, ale jest przydatne dla uprawnionych użytkowników, którzy nie próbują Cię hakować. Oczyść dane (wszystkie dane, niezależnie od tego, czy są to dane wejściowe lub coś prosto z bazy danych, które Twoim zdaniem powinieneś mieć zaufanie) przed umieszczeniem w bazie danych.

Nawet jeśli w 100% ufasz swojej walidacji i robisz to po stronie serwera (gdzie teoretycznie ludzie nie powinni być w stanie zadzierać z danymi), to nadal warto użyć jakiejś formy odkażania, ponieważ jest to dobre zwyczaj wejść.