Requestparameter sind tainted!

[Rolf B]

Hallo pl,

jetzt machst Du den Stoiber (mann was hat der mich gestern bei Hart aber Fair genervt) und waberst mit dem Thema durch die Gegend.

Was über die User-Schnittstelle kommt (HTTP, FTP, werweißwassonst), ist besudelt (tainted) und zur Laufzeit zu prüfen. Einverstanden.

Was vom Autor kommt, muss zur Laufzeit aber nicht geprüft werden. Mir selbst vertraue ich sowieso. Und wenn ich jemand anderem soweit vertraue, dass ich das Recht erteile, nichtöffentliche Teile des Webs zu lesen oder sogar zu verändern, dann muss ich auch darauf vertrauen, dass dieses Recht nicht zum Besudeln der Site missbraucht wird.

Es kann natürlich Tippfehler geben. Oder Config-Keys, die zu setzen vergessen wurden. Eine Anwendung sollte fehlende Config-Einträge sinnvoll reporten. Aber das ist nicht „tainted“. Tainted wäre eine Config-Datei, oder eine externen Klassenbibliothek, die dazu führt, dass Daten entgegen dem Zweck der Site genutzt werden. Oder Schadcode an User geliefert wird.

Das kann ich aber nicht durch Laufzeitprüfungen bekämpfen. Da hilft nur Inspektion und Test der genutzten Fremdkomponenten, bevor sie in mein Web kommen.

Rolf