消毒任意用戶輸入

Question

我正在接受STL文件，對它們進行一些簡單處理（計數面，計算總體積等）並向用戶返回一些統計信息。沒有數據庫或持久性計劃（儘管未來可能會添加）。用戶可以上傳文件或指向URL。

爲了清理使用輸入和保護Tornado服務器，我應該考慮什麼？

• 我正在使用自動轉義html的模板系統。
• 我也可以impliment邏輯，檢查輸入「看起來像」有效的STL格式，因爲我解析它：二進制STL只是浮動;我也知道ascii STL的格式是什麼樣子。
• 我已經做了一些初步的研究，包括：
  • When is it Best to Sanitize User Input?
  • What is the best way to sanitize user inputs?
  • 許多人。

我缺少什麼明顯？

Answer 1

沒有你給的代碼，我們所能做的就是猜測：

1. 想想邊界條件，同時表示之間轉換（二進制 - >浮動，ASCII碼 - >二進制）
2. 想想計算出的結果統計數據將在Web瀏覽器中呈現？是否可以打印一些UTF-8代碼，或者是否可以插入JavaScript？