Se la funzione o il chiamante sono responsabili della convalida dell'input?

Question

Sto facendo un controllo di sicurezza su un'applicazione php abbastanza grande e mi chiedevo dove dovrei includere la mia convalida dell'input dell'utente.

Devo convalidare i dati, quindi inviare i dati puliti alle funzioni di back-end o devo fare affidamento su ciascuna funzione per eseguire la propria convalida? O anche entrambi?

Esiste uno standard o una best practice per questo genere di cose?

Attualmente l'app funziona in modo incoerente e mi piacerebbe rendere le cose più coerenti.

Answer 1

È consigliabile convalidare i dati dall'esterno il prima possibile. A seconda dell'architettura, la convalida del backend all'interno delle funzioni responsabili può essere un secondo passo, ma non dipendere dalla convalida del backend ma convalidare i dati quando entrano nell'applicazione.

I professionisti con convalida all'interno delle funzioni come complemento della convalida precedente è che è più semplice (e più sicuro) mantenere il sistema perché gli sviluppatori (più deboli) non riescono a rompere l'applicazione. Se hai un'applicazione con supporto per i plug-in, ad es. per i plug-in di terze parti, anche le funzioni di sicurezza sono un must.

Answer 2

Penso che se si possibile fare entrambi, e il tempo/risorse non sono un problema, perché no?

Answer 3

Dipende dall'ambito/definizione dell'applicazione. Ma tradizionalmente, le tue funzioni sono usate in may places $ object-> doSomething() fa proprio questo. Facendo affidamento sulla convalida, prevedi la possibilità di eseguire Qualcosa() del tuo acccord PROPRIO, sai?

Troppo, se si mantiene la convalida al di fuori si può facilmente gestirlo. Non c'è bisogno di scovarlo in quella particolare funzione interna. Mantengalo OOP, ma più come

$ data = $ validator-> sanitizeSomething ($ data); $ oggetto-> doSomething ($ dati);

mantiene le regole di convalida separate e facili da maneggiare così come le funzioni interne.

Elaborare, supponiamo di avere un oggetto db che aggiunge un allineamento alla tabella:

class db { 
    function addRow($table, $associativeArray) { 
     // primitive i know, just an example 
    } 
} 

vorresti il ​​tuo convalida in là?

function addRow($table, $associativeArray) { 
    if(isset($assiciativeArray['description']) { 
     // validate 
    } 
} 

sarebbe sciocco - che ci si vuole che nel l'oggetto che si sta lavorando in

class product { 
    function update() { 
     if($this->validate()) { 
      $this->db->addRow($this->toArray()); // or something, you get the idea, ya? 
     } 
    } 
    function validate() { 
     if($this->description != "") { 
     return true; 
     } 
     return false; 
    } 
} 

Answer 4

Sia è la risposta migliore. La convalida dei dati dovrebbe avvenire in ogni funzione che gestirà i dati per evitare il problema di Hope Driven Development (HDD)

Answer 5

Convalida sul backend è come schermare i passeggeri dopo essere saliti a bordo dell'aereo. L'intero punto di convalida è impedire l'iniezione di elementi che potrebbero soffocare la tua app. Quindi devi convalidare prima di entrare nel gate :)