I/O情報セキュリティ
19965 ワード
npm initアプリケーションをパッケージとして管理開始
アプリケーション情報をjsonファイルのpackageとして表します.jsonファイルの生成
fileeread関数のidクエリー値に.../さらに入力すると、親フォルダのアドレスが書き込まれ、ファイルが読み込まれます.つまり、管理者が許可しないファイルは、クエリー値にパスを追加することで読み込むこともできます.
->pathモジュールをpathにロードします.parse関数では,クエリ値にパスが含まれている場合に解析を行い,最下位のパスのみを出力して防止する.
このように入力ウィンドウにJavaScriptコードを書くと、サーバが低コードを実行する可能性があります->衛生寸法-htmlで解決しますか?(消毒=洗浄)
毎週ユーザーが増え、10万人以上->これは良いモジュールです.
npmによる衛生保健-htmlインストール
dependencies->アプリケーション依存の外部ソフトウェア
sanitaizeは別のソフトウェアに依存し、外部ソフトウェアを使用する場合もある.npmはこのような複雑な関係を管理することができる.
入力を受信するために許可されたタグを設定することもできます.
アプリケーション情報をjsonファイルのpackageとして表します.jsonファイルの生成
情報セキュリティの入力
fileeread関数のidクエリー値に.../さらに入力すると、親フォルダのアドレスが書き込まれ、ファイルが読み込まれます.つまり、管理者が許可しないファイルは、クエリー値にパスを追加することで読み込むこともできます.
->pathモジュールをpathにロードします.parse関数では,クエリ値にパスが含まれている場合に解析を行い,最下位のパスのみを出力して防止する.
var filteredId = path.parse(queryData.id).base;
fs.readFile(`data/${filteredId}`, 'utf8',
出力情報セキュリティ
このように入力ウィンドウにJavaScriptコードを書くと、サーバが低コードを実行する可能性があります->衛生寸法-htmlで解決しますか?(消毒=洗浄)
毎週ユーザーが増え、10万人以上->これは良いモジュールです.
npmによる衛生保健-htmlインストール
dependencies->アプリケーション依存の外部ソフトウェア
sanitaizeは別のソフトウェアに依存し、外部ソフトウェアを使用する場合もある.npmはこのような複雑な関係を管理することができる.
var sanitizeHtml = require('sanitize-html');
var sanitizedTitle = sanitizeHtml(title);
var sanitizedDescription = sanitizeHTML(Description)
入力中のスクリプトラベルが削除されたようです.入力を受信するために許可されたタグを設定することもできます.
var http = require('http');
var fs = require('fs');
var url = require('url');
var qs = require('querystring');
var template = require('./lib/template.js');
var path = require('path');
var sanitizeHtml = require('sanitize-html');
var app = http.createServer(function(request,response){
var _url = request.url;
var queryData = url.parse(_url, true).query;
var pathname = url.parse(_url, true).pathname;
if(pathname === '/'){
if(queryData.id === undefined){
fs.readdir('./data', function(error, filelist){
var title = 'Welcome';
var description = 'Hello, Node.js';
var list = template.list(filelist);
var html = template.HTML(title, list,
`<h2>${title}</h2>${description}`,
`<a href="/create">create</a>`
);
response.writeHead(200);
response.end(html);
});
} else {
fs.readdir('./data', function(error, filelist){
var filteredId = path.parse(queryData.id).base;
fs.readFile(`data/${filteredId}`, 'utf8', function(err, description){
var title = queryData.id;
var sanitizedTitle = sanitizeHtml(title);
var sanitizedDescription = sanitizeHtml(description, {
allowedTags:['h1']
});
var list = template.list(filelist);
var html = template.HTML(sanitizedTitle, list,
`<h2>${sanitizedTitle}</h2>${sanitizedDescription}`,
` <a href="/create">create</a>
<a href="/update?id=${sanitizedTitle}">update</a>
<form action="delete_process" method="post">
<input type="hidden" name="id" value="${sanitizedTitle}">
<input type="submit" value="delete">
</form>`
);
response.writeHead(200);
response.end(html);
});
});
}
} else if(pathname === '/create'){
fs.readdir('./data', function(error, filelist){
var title = 'WEB - create';
var list = template.list(filelist);
var html = template.HTML(title, list, `
<form action="/create_process" method="post">
<p><input type="text" name="title" placeholder="title"></p>
<p>
<textarea name="description" placeholder="description"></textarea>
</p>
<p>
<input type="submit">
</p>
</form>
`, '');
response.writeHead(200);
response.end(html);
});
} else if(pathname === '/create_process'){
var body = '';
request.on('data', function(data){
body = body + data;
});
request.on('end', function(){
var post = qs.parse(body);
var title = post.title;
var description = post.description;
fs.writeFile(`data/${title}`, description, 'utf8', function(err){
response.writeHead(302, {Location: `/?id=${title}`});
response.end();
})
});
} else if(pathname === '/update'){
fs.readdir('./data', function(error, filelist){
var filteredId = path.parse(queryData.id).base;
fs.readFile(`data/${filteredId}`, 'utf8', function(err, description){
var title = queryData.id;
var list = template.list(filelist);
var html = template.HTML(title, list,
`
<form action="/update_process" method="post">
<input type="hidden" name="id" value="${title}">
<p><input type="text" name="title" placeholder="title" value="${title}"></p>
<p>
<textarea name="description" placeholder="description">${description}</textarea>
</p>
<p>
<input type="submit">
</p>
</form>
`,
`<a href="/create">create</a> <a href="/update?id=${title}">update</a>`
);
response.writeHead(200);
response.end(html);
});
});
} else if(pathname === '/update_process'){
var body = '';
request.on('data', function(data){
body = body + data;
});
request.on('end', function(){
var post = qs.parse(body);
var id = post.id;
var title = post.title;
var description = post.description;
fs.rename(`data/${id}`, `data/${title}`, function(error){
fs.writeFile(`data/${title}`, description, 'utf8', function(err){
response.writeHead(302, {Location: `/?id=${title}`});
response.end();
})
});
});
} else if(pathname === '/delete_process'){
var body = '';
request.on('data', function(data){
body = body + data;
});
request.on('end', function(){
var post = qs.parse(body);
var id = post.id;
var filteredId = path.parse(id).base;
fs.unlink(`data/${filteredId}`, function(error){
response.writeHead(302, {Location: `/`});
response.end();
})
});
} else {
response.writeHead(404);
response.end('Not found');
}
});
app.listen(3000);
Reference
この問題について(I/O情報セキュリティ), 我々は、より多くの情報をここで見つけました https://velog.io/@changing/입출력-정보-보안テキストは自由に共有またはコピーできます。ただし、このドキュメントのURLは参考URLとして残しておいてください。
Collection and Share based on the CC Protocol