让安全编码变得实用

最佳实践：

针对敏感功能进行审计日志记录
错误日志记录
将日志存储在集中位置
在规定时间内保留日志
定期审计日志中的个人身份信息 (PII)

{
 "dependencies": {
   "foo": "1.0.0 - 2.9999.9999",
   "bar": ">=1.0.2 <2.1.2"
 }
}

import mysql.connector
db = mysql.connector.connect
#不良实践。请避免使用！仅供学习参考。
(host="localhost", user="newuser", passwd="pass", db="sample")
cur = db.cursor()
name = raw_input('Enter Name: ')
cur.execute("SELECT * FROM sample_data WHERE Name = '%s';" % name) for row in cur.fetchall(): print(row)
db.close()

许多框架还提供了一组可启用的端点，用于监控应用程序，无论是在生产环境还是测试/开发环境中。这些端点包括：

指标 (Prometheus)
日志
环境信息
路径/URL 映射

ts
let url = request.params.url;

let response = http.get(url);
let render = response.render();

return render.export();

html
<form method="POST">
     <input name="Id" type="hidden" value="666">
     <input name="Name" type="text" value="Bad guy">
     <input name="EmailAddress" type="text" value="hacker@attacker.com">
     <input name="IsAdmin" type="hidden" value="true">
     <input type="submit">
</form>  

xml
<?xml version="1.0" ?>
<!DOCTYPE outerElement [
   <!ENTITY externalEntity SYSTEM  "file:///etc/passwd" > ]>
<outerElement>&externalEntity;</outerElement>

伪代码
let baseFolder = "/var/www/api/documents/"; 
let path = baseFolder + request.params.filename;

return file.read(path);

cs

// 确保默认行为是验证请求，并检查其是否为管理员
[Authenticate]
[Authorize("Admin")]
public class SecureController : Controller
{

}

public class MyController : SecureController
{

    // 覆盖继承的 Authorize 属性，允许任何用户访问该页面

```html
<!--- 不安全：htmlSnippet 将在没有任何转义的情况下被解析 --->
@Html.Raw(htmlSnippet)
```

一些最常见的注入类型包括：

SQL 注入
跨站脚本攻击 (HTML/Javascript 注入)
路径遍历 (路径/URL 注入)
命令注入
代码注入

public string UploadProfilePicture(FormFile uploadedFile)
{
    // 生成上传文件的保存路径
    var path = $"./uploads/avatars/{request.User.Id}/{uploadedFile.FileName}";

    // 保存文件
    var localFile = File.OpenWrite(path);
    localFile.Write(uploadedFile.ReadToEnd());
    localFile.Flush();
    localFile.Close();

     // 更新个人资料图片
    UserProfile.UpdateUserProfilePicture(request.User, path)

    return path;
}

let ip = request.params.ipAddress;

system("ping " + ip);