was sollte man zuerst machen? Desinfektion oder Validierung

Question

Ich habe ein Feld in meinem Registrierungsformular, das zum Beispiel ein name Feld enthält, es wird in der Datenbank in einem Feld namens user_name varchar(20) gespeichert werden. es ist klar, dass ich die Benutzereingabe bestätigen sollte , wenn ich dieses Feld frist unten mit Code validieren:

<?php 
if(emptiy($_pos['name']) || strlen($_post['name'])>20) 
//send an not valid input error 
else{ 
$name=htmlspcialchars($_post['name']); 
//check for sql injection; 
//insert name into database;} 
?> 

, wenn ein Benutzer einen Namen wie <i> some one </i> die Stringlänge 17 einfügen, so dass der sonst Teil wird performe und Name wird die Länge ist 28, die einen Fehler beim Einfügen in db.In dieser Zeit, wenn ich einen Fehler an den Benutzer senden, dass seine/ihre Eingabe ist zu longe wird er verwirrt. was soll ich machen? Was ist der beste Ansatz?

Answer 1

In der Regel sollte man zuerst reinigen - "für Ihren Schutz und ihre." Dies schließt das Entfernen von ungültigen Zeichen ein (Zeichencodierung natürlich empfindlich). Wenn ein Feld nur Zeichen und Leerzeichen enthalten soll, dann entferne alles, was nicht das erste ist.

Danach validieren Sie die Ergebnisse - ist der Name bereits verwendet (für eindeutige Felder), ist es die richtige Größe, ist es nicht leer?

Der Grund, den Sie geben, ist genau der richtige - um die Benutzererfahrung zu maximieren. Verwechsle den Benutzer nicht, wenn du es vermeiden kannst. Dies hilft beim Schutz vor dumb copy & einfügen Verhalten, aber Sie müssen vorsichtig sein - wenn ich möchte meinen Namen als "Ke $ h @" aufgezeichnet, kann ich oder nicht ok mit der Änderung zu "Keh".

Zweitens, es ist auch Bugs zu verhindern.

Was passiert, wenn Sie Benutzernamen erstellen möchten, die keine Sonderzeichen zulassen? Wenn ich "Brian" eingebe, und dein System es als den uns bereits verwendeten Namen zurückweist, dann reiche ich "Brian $" ein? Zuerst validierst du es, und es wird nicht benutzt, dann entziehst du Sonderzeichen und du bleibst bei "Brian". Uh oh - jetzt müssen Sie entweder AGAIN validieren, oder Sie erhalten einen merkwürdigen Fehler, dass entweder die Kontoerstellung fehlgeschlagen ist (wenn Ihre Datenbank zum Beispiel eindeutige Benutzernamen erfordert), oder schlimmer noch, es wird erfolgreich sein und überschreiben/Korruption tritt für Benutzer Benutzerkonten auf.

Ein anderes Beispiel sind minimale Feldlängen: Wenn Sie einen Namen benötigen mindestens 3 Buchstaben lang sein und nur Buchstaben akzeptieren, und ich gebe "Nein" ein, würden Sie es ablehnen; aber wenn ich "no @ # $%" eintrage, würde man sagen, dass es gültig war (lange genug), es sterilisieren, und jetzt ist es nicht mehr gültig, etc.

Der einfache Weg, dies zu vermeiden, ist zuerst zu sanieren und dann müssen Sie nicht zweimal über die Validierung nachdenken.

Allerdings hatte Niet Recht, Daten vor der Speicherung nicht zu verschlüsseln; Im Allgemeinen ist es viel einfacher, die Ausgabe in HTML so einzurichten, als wäre sie codiert, wenn es angebracht ist, dann sollte man daran denken, sie zu dekodieren, wenn Sie nur den einfachen Text (zum Eingeben in Textfelder, JSON-Zeichenfolgen usw.) wollen. Die meisten Testfälle, die Sie verwenden, enthalten keine Daten mit HTML-Entities, so dass es leicht ist, dumme Bugs einzuführen, die nicht leicht zu finden sind.

Das große Problem ist, dass wenn ein solcher Fehler eingeführt wird, kann es schnell zu Datenbeschädigung führen, die nicht leicht zu lösen ist. Beispiel: Sie haben einfachen Text, geben ihn falsch als HTML-Entitäten in ein Textfeld aus, das Formular wird zurückgesendet und Sie codieren es neu ... jedes Mal, wenn es geöffnet/erneut gesendet wird, wird es neu codiert. Bei einer stark frequentierten Site/Formular könnten Sie Tausende von unterschiedlich kodierten Einträgen erhalten, ohne dass Sie klar bestimmen könnten, was und was nicht HTML-kodiert sein sollte.

Der Schutz vor der Injektion ist gut, aber HTML-Codierung ist nicht dafür ausgelegt (und muss nicht verlässlich sein), dies zu tun.

Answer 2

Nein, Sie sollten zuerst validieren. Sanitizing wird durchgeführt, um die Datenspeicherstufe zu handhaben, die der letzte Schritt ist. Es macht keinen Sinn, auf eine Datenspeicherebene zuzugehen, wenn die Geschäftsregeln die Validierungsphase nicht bestehen. Wenn Sie eine Nummer benötigen und Ihnen eine Zeichenfolge zugewiesen wird, ist das ein Fehler, sodass Sie sie zurück an das Formular senden. Sanitizing mit Ausnahme von stripseslashes, falls erforderlich (nicht erforderlich ab 5.4), ist nicht notwendig, wenn Sie SQL mit vorbereiteten Anweisungen verwenden und stattdessen die Eingabe korrumpieren würden.