Google APIの認証レスポンスに衛生設備が必要ですか？

Question

APIを使用してGoogleサービスに認証された呼び出しを行う際にコードインジェクションが心配する必要はありますか？

応答をサニタイズ/フィルタリングする必要がありますか？

私は現在zend GDataを使用しています。

精巧な答えがないだけでyesまたはno感謝されていない:)

ありがとうございました。

Answer 1

はい。はい、データをサニタイズする必要があります。並べ替え

これは実際にここで働くセキュリティの基本原則の1つです。フィルタイン、エスケープアウト。基本的には：

で

フィルターは常にあなたのアプリケーションに入ってくるデータをフィルタリングします。どういう意味ですか？

データがソースコードでハードコードされていない場合は、それをフィルタリングする必要があります。たとえそれがあなたのデータベースやGoogleのような "信頼"していると思われるものから来ても、それをフィルタリングしてください。常に。

フィルタリングは、基本的には、それが期待どおりかどうかを確認することを意味します。英数字のユーザー名を期待していて、その中に記号がある場合、それは問題です。フィルタリングはエスケープを意味するものではありません。

は

は必ず残し任意のデータをエスケープ脱出...それは悪い部分を離れて交換することを意味し、「破壊的」にすることも、すべて一緒の入力を拒否することを意味し、拒否することができ、あなたの応用。それが価値のある信頼から来ているかどうかは関係ありません。それは途中で逃げ出す必要があります。そして、それは、それが使用される文脈のために適切にエスケープする必要があります。データベースに出力する場合は、一方向にエスケープする必要があります.HTMLブロックに出力する場合は、別の方法でエスケープしてください...

ここでの質問は、「リモートサーバーから来るものはサニタイズが必要ですか」です。答えは「はい」です。常に。疑いもなく。