Vlákno názorů k článku Zranitelnosti typu injekce: vložení systémového příkazu od Peva - Problém je hlubší než se na první pohled...
-
Peva (neregistrovaný)
Problém je hlubší než se na první pohled zdá...programátor volající nějakou funkčnost nemá samozřejmě ani páru, jakým způsobem je ona funkcionalita v nějaké nizkoúrovňové knihovně naprogramována....narozdíl od SQL, kde přeci jenom musí být přítomen nebo propagován Connection, a jde celkem odtušít, kde číhá nebezpečí.
-
Primárně by si měl každý programátor okolní svět zawrapovat do funkci a objektů. Jakékoliv inline sestavování query v kódu je automaticky stopka při code review.
Ale dělá se to často. Viděl jsem mnohokrát jak si programátor sestavuje například RPC volání jako XML v řetězci než aby si napsal plnohodnotného klienta. Možná že má v kódu jen jedno takové volání. Ne, on tam volal každou chvíli něco a všechna volání sestavovat inline jako string
