¿Debería la función o la persona que llama ser responsable de la validación de entrada?

Question

Estoy haciendo una auditoría de seguridad en una aplicación de php bastante grande y me preguntaba dónde debería incluir mi validación de entrada de usuario.

¿Debo validar los datos, luego envío los datos limpios a las funciones de fondo o debo confiar en cada función para hacer su propia validación? ¿O incluso los dos?

¿Hay algún estándar o mejor práctica para este tipo de cosas?

Actualmente, la aplicación no es uniforme y me gustaría hacer las cosas más consistentes.

Answer 1

Definitivamente debe validar los datos desde el exterior tan pronto como sea posible. Dependiendo de la arquitectura, la validación de back-end dentro de las funciones responsables puede ser un segundo paso, pero no depende de la validación de back-end, pero valida los datos cuando se trata de su aplicación.

Los profesionales con funciones de validación en el interior como complemento a la validación anterior es que es más fácil (y más seguro) mantener el sistema debido a que los desarrolladores (más descuidados) no pueden romper la aplicación. Si tiene una aplicación con soporte para complementos, p. para complementos de terceros, las funciones seguras también son obligatorias.

Answer 2

Creo que si puede hacer ambas cosas, y el tiempo/recursos no son un problema, ¿por qué no?

Answer 3

Depende del alcance/definición de la aplicación. Pero tradicionalmente, sus funciones se utilizan en lugares de mayo $ object-> doSomething() hace precisamente eso. Al confiar en la validación allí, evitas la capacidad de hacer algo() de tu propio acceso, ¿sabes?

Demasiado, si mantiene la validación fuera, puede administrarla fácilmente. No es necesario buscarlo en esa función interna particular. Consérvelo OOP, pero más como

$ data = $ validator-> sanitizeSomething ($ data); $ object-> doSomething ($ data);

esto mantiene sus reglas de validación separadas y fáciles de gestionar, así como sus funciones internas.

Elaborar, supongamos que tiene un objeto db que añade una matriz a la mesa:

class db { 
    function addRow($table, $associativeArray) { 
     // primitive i know, just an example 
    } 
} 

habría usted quiere que su validación ahí?

function addRow($table, $associativeArray) { 
    if(isset($assiciativeArray['description']) { 
     // validate 
    } 
} 

sería tonto - te gustaría que en el objeto que se está trabajando en

class product { 
    function update() { 
     if($this->validate()) { 
      $this->db->addRow($this->toArray()); // or something, you get the idea, ya? 
     } 
    } 
    function validate() { 
     if($this->description != "") { 
     return true; 
     } 
     return false; 
    } 
} 

Answer 4

Tanto es la mejor respuesta. La validación de datos debería ocurrir en cada función que manejará los datos para evitar el problema del Desarrollo impulsado por Hope (HDD)

Answer 5

Validar en el backend es como examinar a los pasajeros después de que hayan abordado el avión. El objetivo de la validación es evitar la inyección de elementos que puedan paralizar su aplicación. Entonces debe validar antes de ingresar a la puerta :)