Inputvalidering

OWASP's Input Validation Cheat Sheet skelner mellem syntaktisk validering, der håndhæver en værdis korrekte form (et CPR-nummer er ti cifre, en dato kan parses som ISO 8601, et antal er et heltal), og semantisk validering, der håndhæver korrekthed i forretningskonteksten (en startdato ligger før slutdatoen, et antal er mellem 1 og 99, den konto, der henvises til, tilhører kalderen). Begge dele skal køre på serveren ved tillidsgrænsen, så tidligt som muligt, før data når forretningslogik eller lagring. Tjek i klienten forbedrer brugeroplevelsen, men giver ingen sikkerhed, fordi enhver HTTP-klient kan gå uden om dem. NIST SP 800-53 Rev. 5 beskriver samme kontrol som SI-10 Information Input Validation, og den tilsvarende svaghed er CWE-20 Improper Input Validation.

Allowlisting definerer, hvad der er acceptabelt, via en type, en opremsning af gyldige værdier, en længdegrænse, et talinterval eller et forankret regulært udtryk, og afviser alt andet. Denylisting af kendte farlige strenge som script-tags eller SQL-nøgleord er skrøbeligt: angribere omgår det med alternative encodings, skift mellem store og små bogstaver, kommentarer og Unicode-tegn, der ligner andre tegn. Input skal dekodes og kanoniseres (URL-dekodning, Unicode-normalisering som NFC eller NFKC, opløsning af stier), før det valideres, ellers kan et tjek for "../" omgås med %2e%2e%2f eller overlange encodings. Regulære udtryk kan selv blive en vej til denial of service: mønstre med indlejrede kvantorer kan backtracke katastrofalt på udformet input (ReDoS), så længdegrænser skal anvendes først.

Struktureret input valideres bedst mod et skema: JSON Schema eller OpenAPI for API-bodies, XSD for XML med DTD'er og eksterne entiteter slået fra for at undgå XXE, og streng binding til eksplicitte dataoverførselsobjekter, så ekstra felter afvises, hvilket også forhindrer mass assignment. Filuploads kræver en størrelsesgrænse, en allowlist over filtyper, der tjekkes sammen med filens faktiske signatur frem for den Content-Type, klienten oplyser, filnavne genereret af serveren og lagring uden for webroden.

Den vigtigste begrænsning er, at validering ikke erstatter håndtering tilpasset den kontekst, data bruges i. En streng kan være fuldt gyldig, fx efternavnet O'Neil eller en fritekstkommentar med vinkelparenteser, og alligevel være farlig i en SQL-sætning eller på en HTML-side. Injection forhindres dér, hvor data bruges, med parameteriserede forespørgsler, kontekstafhængig output-encoding og sikre API'er; validering gør angrebsfladen mindre og fanger fejlformede data tidligt. Det samme gælder data fra interne tjenester, databaser og output fra sprogmodeller, som skal behandles som ubetroede, når de stammer fra noget uden for komponentens egen kontrol.