過濾用戶數據是Web應用安全的基礎。它是驗證數據合法性的過程。通過對所有的輸入數據進行過濾，可以避免惡意數據在程序中被誤信或誤用。大多數Web應用的漏洞都是因為沒有對用戶輸入的數據進行恰當過濾所引起的。

我們介紹的過濾數據分成三個步驟：

• 1、識別數據，搞清楚需要過濾的數據來自于哪里
• 2、過濾數據，弄明白我們需要什么樣的數據
• 3、區分已過濾及被污染數據，如果存在攻擊數據那么保證過濾之后可以讓我們使用更安全的數據

識別數據

“識別數據”作為第一步是因為在你不知道“數據是什么，它來自于哪里”的前提下，你也就不能正確地過濾它。這里的數據是指所有源自非代碼內部提供的數據。例如:所有來自客戶端的數據，但客戶端并不是唯一的外部數據源，數據庫和第三方提供的接口數據等也可以是外部數據源。

由用戶輸入的數據我們通過Go非常容易識別，Go通過r.ParseForm之后，把用戶POST和GET的數據全部放在了r.Form里面。其它的輸入要難識別得多，例如，r.Header中的很多元素是由客戶端所操縱的。常常很難確認其中的哪些元素組成了輸入，所以，最好的方法是把里面所有的數據都看成是用戶輸入。(例如r.Header.Get("Accept-Charset")這樣的也看做是用戶輸入,雖然這些大多數是瀏覽器操縱的)

過濾數據

在知道數據來源之后，就可以過濾它了。過濾是一個有點正式的術語，它在平時表述中有很多同義詞，如驗證、清潔及凈化。盡管這些術語表面意義不同，但它們都是指的同一個處理：防止非法數據進入你的應用。

過濾數據有很多種方法，其中有一些安全性較差。最好的方法是把過濾看成是一個檢查的過程，在你使用數據之前都檢查一下看它們是否是符合合法數據的要求。而且不要試圖好心地去糾正非法數據，而要讓用戶按你制定的規則去輸入數據。歷史證明了試圖糾正非法數據往往會導致安全漏洞。這里舉個例子：“最近建設銀行系統升級之后，如果密碼后面兩位是0，只要輸入前面四位就能登錄系統”，這是一個非常嚴重的漏洞。

過濾數據主要采用如下一些庫來操作：

• strconv包下面的字符串轉化相關函數，因為從Request中的r.Form返回的是字符串，而有些時候我們需要將之轉化成整/浮點數，Atoi、ParseBool、ParseFloat、ParseInt等函數就可以派上用場了。
• string包下面的一些過濾函數Trim、ToLower、ToTitle等函數，能夠幫助我們按照指定的格式獲取信息。
• regexp包用來處理一些復雜的需求，例如判定輸入是否是Email、生日之類。

過濾數據除了檢查驗證之外，在特殊時候，還可以采用白名單。即假定你正在檢查的數據都是非法的，除非能證明它是合法的。使用這個方法，如果出現錯誤，只會導致把合法的數據當成是非法的，而不會是相反，盡管我們不想犯任何錯誤，但這樣總比把非法數據當成合法數據要安全得多。

區分過濾數據

如果完成了上面的兩步，數據過濾的工作就基本完成了，但是在編寫Web應用的時候我們還需要區分已過濾和被污染數據，因為這樣可以保證過濾數據的完整性，而不影響輸入的數據。我們約定把所有經過過濾的數據放入一個叫全局的Map變量中(CleanMap)。這時需要用兩個重要的步驟來防止被污染數據的注入：

• 每個請求都要初始化CleanMap為一個空Map。
• 加入檢查及阻止來自外部數據源的變量命名為CleanMap。

接下來，讓我們通過一個例子來鞏固這些概念，請看下面這個表單

<form action="/whoami" method="POST">我是誰:<select name="name"><option value="astaxie">astaxie</option><option value="herry">herry</option><option value="marry">marry</option></select><input type="submit" /> </form>

在處理這個表單的編程邏輯中，非常容易犯的錯誤是認為只能提交三個選擇中的一個。其實攻擊者可以模擬POST操作，遞交name=attack這樣的數據，所以在此時我們需要做類似白名單的處理

r.ParseForm() name := r.Form.Get("name") CleanMap := make(map[string]interface{}, 0) if name == "astaxie" || name == "herry" || name == "marry" {CleanMap["name"] = name }

上面代碼中我們初始化了一個CleanMap的變量，當判斷獲取的name是astaxie、herry、marry三個中的一個之后 ，我們把數據存儲到了CleanMap之中，這樣就可以確保CleanMap["name"]中的數據是合法的，從而在代碼的其它部分使用它。當然我們還可以在else部分增加非法數據的處理，一種可能是再次顯示表單并提示錯誤。但是不要試圖為了友好而輸出被污染的數據。

上面的方法對于過濾一組已知的合法值的數據很有效，但是對于過濾有一組已知合法字符組成的數據時就沒有什么幫助。例如，你可能需要一個用戶名只能由字母及數字組成：

r.ParseForm() username := r.Form.Get("username") CleanMap := make(map[string]interface{}, 0) if ok, _ := regexp.MatchString("^[a-zA-Z0-9].$", username); ok {CleanMap["username"] = username }

總結

以上是生活随笔為你收集整理的golang确保输入过滤的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。