5 zásad, jak zastavit SQL injection dřív, než ohrozí data > 자유게시판

Když se běh zastaví, máte několik tlačítek. Krokování do funkce vás zavede dovnitř volané funkce, krokování přes řádek ji vykoná celou a zastaví se na dalším řádku. Krokování ven z funkce dokončí aktuální funkci a vrátí vás do volajícího kódu. V panelu s rozsahy platnosti uvidíte hodnoty všech proměnných v daném okamžiku. Právě tady se vyplatí sledovat, co je undefined, co je null a co má neočekávaný typ. Častá chyba je spoléhat na to, že proměnná má hodnotu, kterou měla o pár řádků výš, ale mezitím ji něco přepsalo.

Základem je parametrizace dotazů. Místo skládání řetězců použijte připravené příkazy s placeholdery a hodnoty předejte zvlášť. V praxi to znamená, že dotaz vypadá například jako SELECT * FROM users WHERE email = ? a databázový ovladač sám zajistí, že vstup zůstane pouhou hodnotou, Here is more regarding celý text visit our web page. ne spustitelným kódem. Toto pravidlo platí pro všechny jazyky i frameworky, včetně těch, které nabízejí pohodlnější zápis. Pokud někde řetězíte SQL ručně, je to rizikové místo.

Ptejte se na režim provozu, ne jen na seznam funkc

Další vrstvou je omezení práv databázového účtu. Aplikace nemá běžet pod účtem správce s právy na všechny databáze. Přidejte jen ta práva, která skutečně potřebuje, a oddělte účty pro čtení a zápis. Pomůže i vypnutí podrobných chybových zpráv ve veřejném provozu; útočník z nich často získá strukturu tabulek. Chyby logujte interně, ale uživateli zobrazte obecnou zprávu.

Každý, kdo někdy vedl softwarový projekt, zná ten pocit: na začátku vypadá úkol jasně a termín reálný, ale po pár týdnech se všechno posune. Odhad času není věštění, je to dovednost, kterou lze trénovat. Základem je přestat odhadovat v hlavě a začít měřit. Veď si jednoduchý záznam u každé dokončené činnosti – kolik jste čekali a kolik skutečně zabrala. Po pár týdnech uvidíte vlastní odchylky a přestanete si nalhávat, že „to bude rychlé".

Nejčastější chybou je práce s prvkem, který v době spuštění skriptu ještě neexistuje. Pokud váš kód volá document.querySelector a výsledek je null, skript spadne na chybě „Cannot read property of null". Řešením je buď vložit skript na konec těla dokumentu, dokončení interiéRu nebo obalit logiku do posluchače události DOMContentLoaded. Podobně selhává přístup k vlastnostem nedefinovaných proměnných. V konzoli si proto před použitím hodnoty vypište pomocí console.log – uvidíte, co skutečně obsahuje.

Breakpointy a krokování místo hádání Na panelu Sources nebo Debugger lze kliknutím na číslo řádku nastavit breakpoint. Prohlížeč se při spuštění skriptu zastaví přesně na něm a vy můžete sledovat hodnoty proměnných v panelu Scope. Tlačítky Step over, Step into a Step out se pohybujete po kódu. Pokud se cyklus zacyklí, pomůže podmíněný breakpoint – nastavíte ho pravým kliknutím a zadáte výraz, při jehož splnění se má zastavit. Tím odhalíte, ve které iteraci se hodnota nečekaně mění.

Kdy je lepší zastavit kód než ho vypisov

Nakonec udržujte konzoli čistou. Nadbytečné výpisy z produkčního kódu ztěžují hledání skutečného problému. Před nasazením je odstraňte nebo obalte podmínkou. Pokud chybu nedokážete reprodukovat, zkuste režim inkognito s vypnutými rozšířeními – řada konfliktů vzniká právě kvůli nim. Systematickým postupem od konzole přes breakpointy k ověření asynchronních toků vyřešíte většinu běžných problémů bez zbytečného tápání.

U číselných vstupů se vyplatí ověřit, že jde skutečně o číslo, a teprve potom ho vložit do dotazu. U textových vstupů nastavte maximální délku a povolené znaky podle toho, co má pole skutečně obsahovat. Nikdy nepoužívejte vstup od uživatele k výběru názvu tabulky nebo sloupce. Pokud to nutně potřebujete, použijte pevný seznam povolených hodnot a z něj vybírejte, nikdy ne skládáním řetězce.

Pozor na tichá selhání. Zachycená výjimka v bloku try/catch, která pouze vypíše obecnou zprávu, často skryje skutečnou příčinu. Do catch bloku vždy přidejte console.error(error) včetně celého objektu, ne jen textu. Stejně tak ignorovaný promise bez .catch() vyvolá varování „Unhandled promise rejection" – to je signál, že někde chybí ošetření chyby.

Než začnete cokoli upravovat v kódu, otevřete vývojářské nástroje. Ve většině prohlížečů stačí stisknout F12 nebo kombinaci Ctrl+Shift+I, na Macu Cmd+Option+I. Přepněte se na panel Console. Právě tam se zobrazují chyby, varování a výpisy z vašeho kódu. Pokud tam nic není, zkuste stránku znovu načíst se otevřenou konzolí – některé chyby se objeví jen při inicializaci. Typická chybová zpráva obsahuje typ chyby, text a číslo řádku, na kterém k ní došlo. Kliknutím na číslo řádku se dostanete přímo do zdroje.