Pengesahan input menggunakan jika pernyataan adalah amalan asas dalam selamat oleh pembangunan perisian reka bentuk. 2. Mengesahkan awal dan sering dengan kenyataan menolak data yang tidak dipercayai atau cacat pada titik kemasukan, mengurangkan permukaan serangan dan mencegah serangan suntikan, limpahan penampan, dan akses yang tidak dibenarkan. 3. Jenis dan Pemeriksaan Format menggunakan keadaan mudah jika keadaan -seperti mengesahkan julat umur, struktur e -mel, atau peranan yang dibenarkan -bertindak sebagai penapis awal yang berkesan walaupun tanpa alat yang kompleks. 4. Whitelisting Input yang boleh diterima (misalnya, hanya membenarkan 'Lihat', 'Edit', 'Padam') lebih selamat dan dapat dipelihara daripada nilai -nilai buruk yang dikenali oleh Blacklisting. 5. Kompaun Jika pernyataan membolehkan keselamatan konteks yang menyedari dengan menggabungkan keadaan, seperti menyekat tindakan memadam kepada pentadbir atau menguatkuasakan had saiz fail, mengintegrasikan kebenaran dengan pengesahan. 6. Dengan mengandaikan semua input tidak dipercayai, gagal dengan cepat, dan menggunakan jelas, jelas jika cek, pemaju boleh membina sistem yang boleh diramal dan selamat menggunakan hanya struktur kawalan asas, menjadikan keselamatan elemen asas reka bentuk.

Apabila membina perisian selamat, salah satu yang paling asas - namun sering diabaikan - amalan adalah pengesahan input. Alat utama dalam usaha ini? Pernyataan if merendah diri. Walaupun ia mungkin kelihatan terlalu mudah untuk menjadi kuat, menggunakan if pernyataan dengan teliti dapat membentuk tulang belakang pendekatan yang selamat dengan reka bentuk , terutama ketika mengesahkan dan membersihkan input pengguna awal dan konsisten.

Daripada hanya bergantung pada kerangka kompleks atau perpustakaan pihak ketiga, pemaju dapat mencapai keselamatan yang mantap dengan memasukkan cek terus ke dalam aliran kawalan menggunakan syarat if syarat yang jelas, jelas. Kaedah proaktif ini menghalang banyak kelemahan biasa seperti serangan suntikan, limpahan penampan, dan akses yang tidak dibenarkan - bukan dengan bertindak balas terhadap ancaman, tetapi dengan merancangnya dari awal.

Sahkan awal, sahkan sering

Satu prinsip selamat oleh reka bentuk adalah untuk tidak mempercayai data masuk. Sama ada dari bentuk web, titik akhir API, atau fail konfigurasi, setiap input harus dianggap sebagai tidak dipercayai sehingga terbukti sebaliknya.

Menggunakan if pernyataan di titik masuk fungsi atau laluan anda membolehkan anda gagal dengan cepat:

 def create_user (nama pengguna, umur):
    jika tidak nama pengguna atau len (username.strip ()) == 0:
        Naikkan ValueError ("Nama Pengguna diperlukan")
    Sekiranya tidak ada (umur, int) atau umur <13 atau umur> 120:
        Naikkan ValueError ("Umur mestilah nombor yang sah antara 13 dan 120")

    # Teruskan dengan penciptaan pengguna

Pengesahan semacam ini:

• Menolak input buruk sebelum mencapai logik yang lebih dalam
• Mengurangkan permukaan serangan
• Menjadikan pengendalian ralat boleh diramal

Menguatkuasakan jenis dan pemeriksaan format

Banyak kelemahan keselamatan timbul daripada kekeliruan jenis atau data yang cacat (misalnya, suntikan SQL, suntikan perintah). Mudah if cek dapat memastikan data mematuhi format yang diharapkan sebelum digunakan.

Sebagai contoh, semasa mengendalikan peranan pengguna:

 dibenarkan_roles = {'user', 'admin', 'moderator'}
Sekiranya peranan tidak dibenarkan_roles:
    Meningkatkan KebenaranArror ("Peranan tidak sah disediakan")

Atau semasa mengesahkan format e -mel (tahap asas):

 jika '@' tidak dalam e -mel atau '.' tidak dalam e -mel atau len (e -mel)> 254:
    Naikkan ValueError ("Format E -mel Tidak Sah")

Pemeriksaan ini tidak menggantikan pengesahan parsing atau regex penuh, tetapi mereka berfungsi sebagai penapis awal yang berkesan. Matlamatnya bukanlah kesempurnaan dalam satu langkah - pertahanan berlapis.

Gunakan Whitelists Over Blacklisting

Amalan terbaik teras dalam pengesahan input yang selamat adalah input yang boleh diterima oleh whitelists dan bukannya cuba menghalang yang diketahui yang buruk (penyenaraian hitam), yang sememangnya rapuh.

Dengan if pernyataan, ini bermakna memeriksa apa yang dibenarkan , bukan apa yang anda fikir berbahaya:

 tindakan = get_user_action ()
Jika tindakan tidak dalam ['Lihat', 'Edit', 'Padam']:
    membatalkan (400, "tindakan tidak sah")

Pendekatan ini menghindari permainan kucing dan tikus untuk mengemas kini senarai blok dan menjadikan logik anda lebih banyak dipelihara dan selamat.

Menggabungkan syarat untuk keselamatan yang menyedari konteks

Kadang -kadang pengesahan bergantung kepada konteks - contohnya, hanya pentadbir yang boleh memadam rekod, atau muat naik fail mestilah di bawah saiz tertentu.

Menggunakan kompaun if pernyataan membantu menguatkuasakan peraturan ini dengan jelas:

 jika user.role! = 'admin' dan tindakan == 'padam':
    menaikkan kebenaran ("Hanya pentadbir boleh memadam")

jika file.size> max_file_size:
    Naikkan ValueError ("Fail terlalu besar")

Pemeriksaan kontekstual ini mengintegrasikan kebenaran dan pengesahan dengan lancar, mengurangkan peluang kelemahan logik.

Menggunakan if pernyataan untuk pengesahan input mungkin merasa asas, tetapi kejelasan, kebolehprediksi, dan kedekatan mereka menjadikan mereka ideal untuk membina keselamatan dari bawah ke atas. Apabila digabungkan dengan prinsip-prinsip seperti pemeriksaan yang gagal, putih, dan konteks yang menyedari konteks, mereka menjadi alat yang berkuasa dalam strategi reka bentuk yang selamat.

Anda tidak memerlukan alat yang kompleks untuk bermula - hanya disiplin dan menggunakan struktur kawalan mudah. Pada dasarnya: periksa awal, periksa secara eksplisit, dan anggap apa -apa.

Atas ialah kandungan terperinci Selamat dengan reka bentuk: Menggunakan jika pernyataan untuk pengesahan input yang mantap. Untuk maklumat lanjut, sila ikut artikel berkaitan lain di laman web China PHP!