Validasi Input dan Pengodean Output

Kerentanan injeksi — SQL, perintah, LDAP, XPath, dan lainnya — muncul ketika masukan yang tidak tepercaya ditafsirkan sebagai kode. Validasi masukan memastikan data sesuai dengan jenis, panjang, dan format yang diharapkan sebelum diproses, disimpan, atau dikembalikan.

Validasi daftar izinkan (daftar putih) menentukan apa yang DAPAT diterima: hanya karakter alfanumerik, hanya bilangan bulat dalam rentang 1-100, hanya format alamat surel yang valid. Validasi daftar tolak (daftar hitam) berupaya memblokir masukan buruk yang telah diketahui dan selalu tidak lengkap. Utamakan daftar izinkan.

Validasi di sisi klien meningkatkan pengalaman pengguna, tetapi tidak memberikan keamanan sama sekali — penyerang dapat melewatinya dengan mudah menggunakan alat pengembang peramban atau curl. Selalu lakukan validasi di sisi server. Sisi klien adalah bentuk kemudahan; sisi server adalah kontrol keamanan.

Angka: periksa jenis dan rentang. Teks: periksa panjang dan kumpulan karakter. Tanggal: uraikan secara ketat, lalu periksa rentang. Berkas: periksa ekstensi DAN byte ajaib/jenis MIME — jangan pernah mempercayai ekstensi saja. URL: uraikan dan validasi komponen skema, host, dan jalur.

Keluaran paling penting dari validasi masukan untuk basis data adalah jangan pernah menggabungkan masukan pengguna ke dalam SQL. Gunakan kueri berparameter (pernyataan siap pakai) ketika masukan pengguna diteruskan sebagai parameter, bukan disisipkan ke dalam string query.

String yang sama memerlukan pengodean berbeda bergantung pada konteksnya. Isi HTML: lakukan pengodean HTML (< > &). Atribut HTML: pengodean atribut HTML. JavaScript: lakukan pelolosan JS. Parameter URL: lakukan pengodean URL (pengodean persen). Penggunaan pengodean yang salah menciptakan celah yang dapat dieksploitasi penyerang.

Jangan pernah memasukkan data pengguna langsung ke HTML. Gunakan mesin templat atau pustaka yang secara otomatis melakukan pelolosan HTML. Dalam React, {value} aman; dangerouslySetInnerHTML melewati pelolosan. Dalam Django, templat melakukan pelolosan otomatis kecuali Anda menggunakan filter safe secara eksplisit.

Saat memasukkan data ke dalam JavaScript (misalnya, variabel yang diinisialisasi dengan data pengguna), pengodean HTML tidak cukup. Gunakan pengodean JSON: JSON.stringify(value). Ini mencegah data keluar dari konteks literal string JS.

Data yang diberikan pengguna dan dimasukkan ke URL harus dikodekan persen menggunakan encodeURIComponent() (JS) atau urllib.parse.quote() (Python). Data yang tidak dikodekan dapat memanipulasi struktur URL, sehingga menyebabkan pengalihan terbuka atau traversal jalur.

CSP menambahkan baris pertahanan kedua terhadap XSS. CSP ketat yang menggunakan nonce mencegah eksekusi skrip sebaris meskipun payload XSS telah disisipkan, karena peramban menolak menjalankan skrip tanpa atribut nonce yang benar.

XSS DOM terjadi ketika JavaScript membaca dari sumber yang dikendalikan penyerang (location.hash, document.URL, cookie) dan menulis ke tujuan berbahaya (innerHTML, document.write, eval). Audit semua aliran data dari API peramban ke tujuan DOM menggunakan alat analisis statis.

Mengapa validasi masukan di sisi server penting meskipun validasi di sisi klien telah diterapkan?

Validasi masukan (daftar izinkan, pemeriksaan jenis, batas panjang) yang dipadukan dengan pengodean keluaran yang peka terhadap konteks (HTML, JS, URL, dan parameterisasi SQL) merupakan pertahanan utama terhadap serangan injeksi dan XSS. Keduanya harus diterapkan di sisi server tanpa pengecualian.