用代码守住授权与输入处理
把安全需求写成测试，再修改代码
중급 · 课时 18 · 实验 6
课程大纲
对象归属与管理员功能权限
- 登录回答你是谁，授权回答你能否这样做 reading
- 用服务器端的事实挡住他人的订单和管理员功能 lab
- 测验：对象归属与管理员功能权限 quiz
只接收允许的字段与模式校验
- 不要整体灌入，先检查形状再接收 reading
- 不灌入整个请求体，只接收约定的字段 lab
- 测验：允许字段与模式校验 quiz
参数化查询与排序允许列表
- 不要把值和语句混在一起 reading
- 搜索词当作数据，排序取自允许列表 lab
- 测验：参数化查询与排序允许列表 quiz
输出编码与 CSP
- 文字只是文字，脚本只在指定处运行 reading
- 用户文字只当文字，脚本只来自指定位置 lab
- 测验：输出编码与 CSP quiz
把文件路径限制在基准目录内
- 依据真实路径而不是字符串来判断 reading
- 依据追踪链接后的真实路径来判断 lab
- 测验：把文件路径限制在基准目录内 quiz
抓取外部 URL 功能的允许列表
- 事先规定服务器可以代为访问的地方 reading
- 固定抓取目标，重定向也要重新检查 lab
- 测验：抓取外部 URL 功能的允许列表 quiz