Когда и где кодировать ввод пользователя?

Question

я в настоящее время хранения данных, представленные от пользователей в мою базу данных уже закодирован как например:

<cfquery> 
INSERT INTO dbo.MyTable (UserID, Comment) 
VALUES 
(
<cfqueryparam value="#FORM.UserID#" cfsqltype="cf_sql_integer"/>, 
<cfqueryparam value="#EncodeForHTML(FORM.Comment)#" cfsqltype="cf_sql_nvarchar"/> 
) 
</cfquery> 

Очевидно, что это не правильный способ сделать это, потому что теперь я экранированные символы в моей таблице БД, которые полезны только для HTML и трудно выполнять поиск в SQL Server.

Как я могу обеспечить, чтобы я применял EncodeForHTML() на входе до того, как он попал на сервер, а затем Canonicalize() данные, полученные для хранения в БД?

Answer 1

Вы можете хранить их как есть, а также использовать <cfqueryparam> для form.userid. На выходе вы используете encodeforhtml().

Если вы предпочитаете иметь некоторые данные санировать сделано перед хранением, попробуйте AntiSamy (встроенный в CF11) http://www.adobe.com/devnet/coldfusion/articles/security-improvements-cf11.edu.html#articlecontentAdobe_numberedheader_2

Answer 2

СМЯГЧАТЬ потенциально DB-вредный текст, когда он направляется к БД: передать его в качестве параметра, а не жестко закодированные в инструкции SQL, как вы это сделали в своем примере. Вы все еще подвергаете себя воздействию, не параметризируя свое значение идентификатора. Как правило, только SQL должен идти в вашей строке SQL <cfquery>; любые значения данных должны передаваться как параметры.

Аналогичным образом, уменьшите риск, предоставленный вашим пользователем данным, может быть выставлен при использовании данных. Не тогда, когда он идет на хранение, но когда вы на самом деле его используете. encodeForHtml() подходит только для того, чтобы материал записывался в HTML. Это не поможет, если он передается по URL-адресу или используется в JavaScript и т. Д. Существуют разные подходы к смягчению для этих (urlEncodedFormat() и encodeForJavaScript() соответственно). Дело в том, что вы справляетесь с смягчением использования по принципу использования, а не только в целом.

И как обеспечить, чтобы это было сделано (вы спрашиваете об этом)? Ну ... вы добросовестно пишете свой код и имеете строгий обзор кода и QA-процесс (с QA, выполняющим ручные тесты).