tag
輸入驗證
該標籤下有 2 篇文章
2026-09-05
不安全的反序列化：讓外部資料決定物件型別的風險，以及如何防範
反序列化的危險不在於收到錯誤的值，而在於某些格式讓外部資料決定要建立哪種型別的物件。所以損害不只是資料損壞，OWASP 列出了阻斷服務、存取控制繞過和遠端程式碼執行。防禦有兩種：改用純資料格式，讓任何東西都無法替你選擇型別；以及為序列化的訊息加上簽章，絕不還原沒有簽章的訊息。而且有些機制無論怎麼設定都無法變得安全，唯一的修正方法就是不使用它。
2026-09-05
Node.js 的原型污染：執行環境不負責的部分，以及如何在自己的程式碼中防禦
原型污染是外部輸入中的特殊鍵，通常經由遞迴合併，觸及 JavaScript 內建原型時發生的問題。結果有兩種：你從未設定的屬性到處出現（讓授權與選項判斷出錯），或內建方法消失、應用程式在無關的地方當掉。最重要的是責任歸屬：Node.js 表明這不是 Node.js 核心的漏洞，防禦應在應用程式與相依套件層級進行。等更新是修不好的。