web-services - 我应该拒绝比预期更长的 URL 吗？

Question

我正在开发一个应用程序，并且具有 www.example.com/some_url/some_parameter/some_keyword 格式的 URL。我通过设计知道这些 URL 将具有最大长度(并且仍然有效)。我是否应该验证每个请求的 URL 长度以防止缓冲区溢出/注入(inject)攻击？我相信这是显而易见的肯定，但我不是安全专家，所以也许我遗漏了一些东西。

Answer 1

如果您不期望该输入，请拒绝它。

您应该始终验证您的输入，并且肯定会丢弃任何超出预期范围的内容。如果您已经知道您的 URL 确实不会超过一定长度，那么在它到达应用程序之前拒绝它似乎是明智的。