本文探讨了Web应用程序中常见的信任边界违规问题，此类问题源于将受信数据与不受信数据混合在同一数据结构中。通过示例代码展示了不当处理可能引发的安全隐患，并提供了相应的修复建议。
这个violation 形成的原因，就是mix use trusted and untrusted data in the same data structure.
14. Trust Boundary Violation
Description: Web applications often mistakenly mix trusted and untrusted data in the same data structures, leading to incidents where unvalidated/unfiltered data is trusted/used.
Fix / Recommendation: Proper input validation and output encoding should be used on data before moving it into trusted boundaries.
Sample Code Snippet:
例子里面， sessionPolicyId 没有经过检验，直接传给session, 可能会带来security 的问题。String sessionPolicyId = request.getParameter("id");
if(sessionPolicyId.matches("[0-9a-zA-Z_]+") {
session.setAttribute("sessionPolicyId",sessionPolicyId);
}
扫一扫
1814
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
