Eingaben zur Verhinderung von Injection validieren

Jeder Wert, den ein Client sendet, könnte schädlich sein. Alle Eingaben als unvertrauenswürdig zu behandeln, ist die Denkweise, die die meisten Angriffe verhindert.

Injection tritt auf, wenn Benutzereingaben als Code oder Befehl behandelt werden. Der Angreifer schmuggelt Anweisungen in eine Abfrage oder Shell ein.

Eingaben direkt in SQL einzufügen, ist der klassische Fehler. Ein speziell erstellter Wert kann Ihre Abfrage umschreiben und die gesamte Tabelle ausgeben.

Die Lösung besteht darin, Werte als Parameter zu übergeben und niemals Zeichenketten zu verketten. Der Treiber maskiert sie dann sicher für Sie.

Mit SQLAlchemy verwenden Sie filter_by und gebundene Werte. Dadurch sind Abfragen standardmäßig parametrisiert und Injection-Angriffe deutlich schwieriger.

Prüfen Sie Eingaben, bevor Sie sie verwenden, auf die erwartete Form. Bestätigen Sie den Typ und den Wertebereich, damit sich keine Zeichenkette einschleicht, wo eine Zahl erwartet wird.

Die wenigen erlaubten Werte aufzulisten, ist besser, als jedem unerwünschten Wert hinterherzujagen. Eine Allowlist weist alles zurück, was Sie nicht ausdrücklich erlaubt haben.

Eine Schema-Bibliothek wie Marshmallow prüft Felder für Sie. Sie löst einen ValidationError aus, wenn ein Payload die falsche Form hat.

Injection kann auch in HTML landen. Das Autoescaping von Jinja2 wandelt BenutzertText in sichere Zeichen um, sodass Skripte nicht auf der Seite ausgeführt werden können.

Wenn Sie Inhalte mit dem safe-Filter markieren, wird das Escaping deaktiviert. Tun Sie das nur bei Text, dem Sie vollständig vertrauen – niemals bei rohen Benutzereingaben.

Validieren Sie Daten sofort beim Eingang, bevor sie Ihre Logik erreichen. Ein fast mit 400 hält fehlerhafte Eingaben davon ab, sich weiter auszubreiten.

Sie haben gelernt, Eingaben zu misstrauen, SQL-Injection mit parametrisierten Abfragen zu verhindern, mit Schemata zu validieren, Werte über Allowlists zu begrenzen und Ausgaben zu maskieren. Solide Sicherheitsarbeit!