Проверка входных данных
Определение
Проверка входных данных — сверка полученного значения с ожидаемым типом, формой, диапазоном и рабочим смыслом, которую сервер проводит до обработки. Надёжная проверка опирается на явный список допустимых значений и диапазонов.
Также ищут: Input validation · валидация ввода · server-side validation · syntax and semantic validation
Зачем это знать
Корректная для парсера строка может быть недопустимой для бизнеса, а проверку в браузере злоумышленник обойдёт прямым запросом.
Карта понятия
Что подтверждено
Форму и смысл входных данных проверяют как можно раньше, предпочитая явный список допустимых значений и диапазонов.
Граница применимости: Проверка входных данных приложения.
Даже допустимый ввод нужно кодировать для места вывода, а слишком большой — отклонять по лимиту ресурсов; корректность, безопасное отображение и стоимость обработки — разные проверки.
Граница применимости: Различие между проверкой ввода, безопасностью вывода и ограничениями ресурсов.
Что проверить
- Проверяйте данные на сервере.
- Задайте тип и диапазон.
- Проверьте бизнес-смысл.
Первоисточники
- Input Validation Cheat Sheet
Задаёт раннюю server-side проверку syntax и semantics, allowlist approach и границу с output encoding.
- Cross Site Scripting Prevention Cheat Sheet
Определяет context-specific output encoding и safe sinks; CSP и WAF рассматривает как дополнительные, а не основные XSS controls.
Утверждения: 02
- Guidelines for API Protection for Cloud-Native Systems
Задаёт API lifecycle controls для authentication, authorization, rate limits, resource limits, logging и monitoring.
Утверждения: 02