tag
输入验证
该标签下有 2 篇文章
2026-09-05
不安全的反序列化：让外部数据选择对象类型的风险，以及如何防范
反序列化的危险不在于收到了错误的值，而在于某些格式让外部数据决定要构造哪种类型的对象。所以损害不止于数据损坏——OWASP 列出了拒绝服务、绕过访问控制和远程代码执行。两种防御：改用纯数据格式，让任何东西都无法替你选择类型；对序列化的消息签名，绝不还原未签名的消息。而且有些机制无论怎样配置都无法变得安全；唯一的办法就是不用。
2026-09-05
Node.js 中的原型污染：运行时不负责的部分，以及如何在自己的代码中防御
原型污染是指外部输入中的特殊键（通常经由递归合并）写进了 JavaScript 内置原型。结果有两种：你从未设置过的属性到处出现（破坏权限判断和选项检查），或者内置方法消失、应用在不相关的地方崩溃。最重要的是责任归属——Node.js 明确表示这不被视为 Node.js 核心的漏洞，防御应在应用和依赖层面实施。等更新是修不好的。