vệ sinh đầu vào VS xác nhận

Question

Tôi đã thực hiện xác thực đầu vào trên tất cả dữ liệu đầu vào của mình bằng cách sử dụng php (cũng như js trên giao diện người dùng). Tôi đang nhập vào vị trí mà tôi có thể, xác thực các nội dung như email chống lại regex, đảm bảo các giá trị thả xuống chỉ là những cái tôi mong đợi và trong nhiều trường hợp tôi chỉ mong đợi một chuỗi. chữ cái, số và dấu cách. Bất kỳ điều gì không đáp ứng các quy tắc này dẫn đến biểu mẫu không xác thực và không có truy vấn sql nào được chạy.

Với điều đó nói rằng nếu biểu mẫu của tôi vượt qua xác thực tôi đang giả định rằng nó an toàn cho đầu vào vào db của tôi (mà tôi đang thực hiện thông qua pdo) và sau đó thoát trên đầu ra.

Vì vậy, với lý do đó, tại sao tôi cần vệ sinh đầu vào?

Answer 1

Nếu bạn có máy chủ xác thực rất nghiêm ngặt, bạn không cần phải khử trùng. Ví dụ. xác nhận một chuỗi chống lại/^ [a-z0-9] {5,25} $/sẽ không cần bất kỳ sự khử trùng nào (việc loại bỏ các ký tự không phải chữ và số sẽ không có ý nghĩa gì vì chúng không thể chuyển qua được).

Chỉ cần đảm bảo bạn có thể xác thực tất cả dữ liệu và nếu điều đó là không thể (ví dụ: html có xu hướng hơi khó), bạn có thể sử dụng chiến lược thoát hoặc những thứ như trình lọc html.

Để có cái nhìn tốt về chiến lược thoát ra để phòng ngừa XSS: thấy https://www.owasp.org/index.php/XSS_%28Cross_Site_Scripting%29_Prevention_Cheat_Sheet

Đối với một ý tưởng về các mối đe dọa bảo mật khác nhau: https://www.owasp.org/index.php/PHP_Security_Cheat_Sheet

Answer 2

Bạn cần cả hai. Việc xác thực dữ liệu đầu vào có thể dễ dàng bị đánh bại ở phía máy khách, nhưng nó hữu ích cho những người dùng hợp pháp không cố gắng hack bạn. Vệ sinh dữ liệu (tất cả dữ liệu, cho dù đó là dữ liệu đầu vào hoặc thứ gì đó trực tiếp từ DB của bạn mà bạn nghĩ bạn có thể tin tưởng) trước khi đưa nó vào cơ sở dữ liệu của bạn.

Thậm chí nếu bạn tin cậy 100% xác thực của mình và thực hiện nó ở phía máy chủ (trong lý thuyết, mọi người không nên gây rối với dữ liệu), nó vẫn có giá trị sử dụng một số loại vệ sinh. thói quen để đi vào.