security - 如果从外部来源获取字符串以外的其他数据类型是否可能有害？

Question

众所周知，您不能信任用户输入。如果这些输入未经过滤而使用，甚至可能会带来安全问题。 XSS 和 SQL 注入(inject)可能是由于使用未经过滤的用户输入(或可以由用户更改的输入)而产生的问题。

为了避免此类问题，您必须控制所有可能受外部资源影响的字符串。 Perl 通过“污染模式”来支持这一点。

我所知道的问题，都是由操作字符串引起的。您是否知道由外部影响操纵的整数、 float 等引起的安全问题的示例？或者这个数据类型可以被认为是安全的吗？

Answer 1

最终，所有值都会作为字符串传递到您的程序，无论您最终是否转换它们。所有这些都应该被视为潜在有害，而不仅仅是因为这个原因。

例如，如果您在数字字段中放入非数字字符，则可能会出现解析错误。如果您在意想不到的地方输入零，则可能会出现被零除的错误。如果您输入的值比预期大得多，或者在未预期时输入负值，或者任何其他情况，您可能会收到某种错误。系统错误很可能会泄露比您想要的更多的信息。例如，在 ASP.NET 应用程序中，如果未打开自定义错误，则数据库连接信息、物理路径信息或站点使用的第三方库的信息可能会在默认错误消息中泄漏。

字符串可能比其他值更有可能出现问题，但所有用户输入都应被视为潜在有害。