Grenzen des Clients respektieren

Sie können Roots abrufen und Fähigkeiten auslesen, aber die eigentliche Aufgabe besteht darin, sie zu respektieren. Ein vertrauenswürdiger Server bleibt innerhalb der Grenzen, die der Host für ihn festgelegt hat. 🚧

Bevor Sie auf eine Datei zugreifen, prüfen Sie, ob ihr Pfad innerhalb einer der Roots des Clients liegt. Falls nicht, lehnen Sie den Zugriff ab, statt den erlaubten Bereich zu verlassen.

Ein versteckter Pfad wie ../../etc kann aus einer Root herausführen. Lösen Sie Pfade immer zuerst in einen absoluten, normalisierten Pfad auf, bevor Sie ihn mit Ihren erlaubten Ordnern vergleichen.

Prüfen Sie, ob der aufgelöste Pfad relativ zu einer Root ist. Das pathlib-Hilfsobjekt löst eine Ausnahme aus, wenn der Pfad herausführt, und liefert Ihnen so eine klare Ja-oder-Nein-Entscheidung darüber, ob Sie fortfahren dürfen.

Wenn der Client eine Fähigkeit nie angegeben hat, dürfen Sie sie nicht aufrufen. Grenzen zu respektieren bedeutet, der Aushandlung zu vertrauen, statt Features auszuprobieren, die nie angeboten wurden.

Wenn Roots leer sind oder nicht unterstützt werden, dürfen Sie das Dateisystem nicht erraten. Schränken Sie den Umfang Ihres Tools ein und erklären Sie dem Benutzer den Grund, statt beliebige Pfade aufzurufen.

Roots setzen eine äußere Grenze, aber Sie können noch strenger sein. Fordern Sie nur an, was eine Aufgabe wirklich benötigt – ganz im Sinne des Prinzips der geringsten Rechte – und lassen Sie den Rest unangetastet.

Respekt geht über Pfade hinaus. Achten Sie auch auf das Tempo und die Grenzen des Hosts, damit Sie ihn niemals mit Aufrufen überfluten oder eine vom Benutzer angeforderte Stornierung ignorieren.

Wenn eine roots list_changed-Benachrichtigung eintrifft, prüfen Sie alle zwischengespeicherten Pfade erneut. Ein Ordner, der vor einer Minute noch erlaubt war, kann nun außerhalb des aktuellen Bereichs des Benutzers liegen.

Wenn eine Anfrage auf einen Pfad außerhalb der Roots verweist, geben Sie einen klaren Fehler zurück, den das Modell lesen kann. Eine höfliche Ablehnung ist besser, als stillschweigend etwas zu tun, das der Benutzer nie erlaubt hat.

Server, die Grenzen respektieren, bleiben auf den Geräten der Benutzer installiert. Eine gute Eingrenzung macht aus einem leistungsfähigen Tool ein sicheres Tool, dem Benutzer gerne Zugriff gewähren. 💛

Sie lösen Pfade auf, bestätigen, dass sie innerhalb einer Root liegen, überspringen nicht deklarierte Features, reagieren angemessen auf Einschränkungen und lehnen Arbeiten außerhalb des zulässigen Bereichs ab. Das macht einen Server vertrauenswürdig. ✅