Jak se bránit SQL injection v praxi > 공지사항

• 목록
• 답변
• 글쓰기
• 게시판 리스트 옵션
  • 수정
  • 삭제

GraphQL řeší právě over-fetching i under-fetching. Klient si specifikuje, co chce, a server vrací přesně to. To je výhoda pro mobilní zařízení s omezeným připojením. Ale GraphQL není zadarmo. Musíte navrhnout schéma, řešit resolvery a myslet na bezpečnost. Typický problém: Rikkiepedia.Nl nekonečné vnořené dotazy, které zahltí databázi. Řešením je omezení hloubky dotazu a použití dataloaderů pro dávkové načítání. Také si dejte pozor na autentizaci – v GraphQL máte jeden endpoint, If you have virtually any concerns about wherever and also tips on how to employ https://Rikkiepedia.Nl/, you are able to e mail us at the webpage. takže autorizaci musíte řešit v resolverech, ne na úrovni URL.

Nezapomínejte také na správné pojmenování testů. Jméno testu by mělo popisovat očekávané chování, ideálně ve formátu „Metoda_Scénář_OčekávanýVýsledek". Například „Calculate_DivideByZero_ThrowsException" je mnohem vypovídající než „Test1". Tento zvyk vám ušetří hodiny při hledání příčiny selhání v rozsáhlém projektu. Až budete testy psát, pravidelně je spouštějte a sledujte pokrytí kódu, ale nepovažujte pokrytí za cíl sám o sobě — důležitější je, aby testy ověřovaly klíčové scénáře a hraniční případy.

Při vývoji myslete i na chybové hlášky. Nikdy nevypisujte na web přesné znění SQL chyby, které může útočníkovi prozradit strukturu databáze. Místo toho zachycujte výjimky a logujte je do souboru, uživateli zobrazte neutrální zprávu. Dále omezte práva databázového účtu, který aplikace používá. Pokud aplikace nepotřebuje právo DROP TABLE, mějte ho odebráno. V neposlední řadě pravidelně provádějte penetrační testy a používejte automatizované nástroje pro skenování zranitelností, které dokáží najít SQL injection.

Začněte tím, že si v projektu vytvoříte samostatný testovací projekt. Doporučený postup je přidat nový projekt typu xUnit nebo NUnit přes šablonu v IDE, ale pokud dáváte přednost čistému CLI, použijte příkaz pro vytvoření nového projektu s podporou NUnit. barvy stěn do obýváku testovacího projektu pak přidejte odkaz na zdrojový projekt, který chcete testovat. Tím zajistíte, že testy mají přístup k veřejným typům a metodám, ale zároveň nejsou závislé na interních detailech implementace.

Při porovnávání hodnot se vyvarujte použití obyčejného Assert.AreEqual pro desetinná čísla, protože zaokrouhlovací chyby plovoucí desetinné čárky často způsobí falešná selhání. Místo toho použijte Assert.AreEqual s tolerancí, nebo ještě lépe metodu Assert.That s podmínkou Is.EqualTo(...).Within(...), která umožňuje nastavit přesnost. Podobně pro práci s kolekcemi používejte CollectionAssert nebo modernější Assert.That s výrazy jako Is.EquivalentTo, abyste porovnali obsah bez ohledu na pořadí.

Rychlost načítání webu není jen technický detail. Ovlivňuje uživatelský komfort, pozici ve vyhledávání a v konečném důsledku i konverzní poměr. Pokud se návštěvník musí dívat na rotující kolečko déle než pár sekund, odchází jinam. Než začnete cokoli měnit, změřte si aktuální stav. K tomu slouží nástroje jako PageSpeed Insights nebo GTmetrix, které vám ukáží, co konkrétně zpomaluje vaše stránky.

Kromě parametrizace je nutné i validovat vstupy Parametrizace je nezbytná, ale ne jediné opatření. I když použijete prepared statements, měli byste dále provést validaci vstupů na úrovni aplikace. Např. pro číselné ID kontrolujte, že vstup je skutečně číslo, a pro e-mailové adresy používejte regulární výraz. Validace by měla odmítnout neočekávané znaky, délku a formát. Tím se snižuje plocha útoku a předejdete i dalším problémům, jako je ukládání nebezpečného HTML kódu.

Kdy je GraphQL výhodnější než REST? GraphQL se vyplatí, když máte více klientů s odlišnými datovými potřebami, nebo když potřebujete agregovat data z více služeb. Například dashboard, který zobrazuje statistiky, uživatele i objednávky – v RESTu byste dělali tři requesty, v GraphQL jeden. Další případ je vývoj mobilních aplikací, kde je důležitá úspora dat. Naopak, pokud je API jednoduché, s pevnou strukturou a používáte ho jen z jedné webové aplikace, GraphQL je zbytečná komplikace. Také pokud potřebujete sdílet API s externími partnery, REST je srozumitelnější a snáze se dokumentuje.

Další častou chybou je spoléhat na tzv. magické uvozovky nebo na funkce pro escapování, jako je mysql_real_escape_string. Tyto přístupy jsou zastaralé, snadno se obejdou a nezaručují bezpečnost. Navíc při použití vícebajtových znakových sad může escapování selhat. Proto se vyhněte jakémukoli ručnímu sestavování dotazů – jediné správné řešení je parametrizace v kombinaci s validací.

Základní princip ochrany je jednoduchý: nikdy neskládat SQL dotaz z uživatelských vstupů přímým řetězením textu. Typická chyba vypadá takto: dotaz je sestaven jako text a uživatelský vstup je do něj vložen přímo. Místo toho vždy používejte parametrizované dotazy, které poskytují všechny moderní databázové vrstvy. V PHP to jsou prepared statements u PDO, v Javě PreparedStatement, v Pythonu parametrizace v knihovně pro danou databázi. Parametrizace zajistí, že vstup je vždy interpretován jako data, nikoli jako součást SQL příkazu.