En NodeJS, ¿cuál es una buena manera de garantizar que los datos enviados por el usuario en formularios (entrada de texto) no sean maliciosos?

SQL

La protección contra las inyecciones de SQL se realiza mediante declaraciones preparadas. En términos generales, es una práctica recomendada evitar la concatenación manual de cadenas generadas por el usuario en sentencias de SQL.

En su lugar, use la anotación ? y proporcione la cadena de entrada como parámetro. El controlador se asegura de bloquear cualquier intento de inyección de SQL, así como la entrada inesperada del usuario.

Ejemplo de MySQL -

PreparedStatement ps = connection.prepareStatement("INSERT INTO tbl VALUES (?)");
ps.setString(1, "'abc'); TRAUNCATE TABLE users; SELECT (1");
ps.executeUpdate();

El intento de inyección fallará.

XSS

Puede HTML escapar las cadenas generadas por el usuario o simplemente reemplazar < con > y > con < , antes de enviarlo al cliente o al escribirlo en la base de datos.

También, echa un vistazo a la falsificación de solicitud entre sitios (CSRF) Prevención Cheat Sheet guía.

Eliminar las etiquetas HTML no es un enfoque suficiente para protegerse de XSS. Considere la siguiente entrada:

<scri<script>pt>

Si elimina la etiqueta <script> , se creará otra etiqueta de secuencia de comandos. Este es solo un ejemplo: hay muchos otros ataques que podrían usarse.

Debería protegerse de XSS en el lado del servidor, de esta manera los usuarios no tienen la capacidad de modificar / omitir el código del lado del cliente.

Protegerse contra XSS es totalmente factible, pero debe asegurarse de estar usando el enfoque correcto. Como de costumbre, Las instrucciones de OWASP sobre cómo protegerse es probablemente la mejor manera de hacerlo.

Hay dos métodos principales que se discuten comúnmente cuando se trata de la entrada del usuario. Estos dos métodos son validación y desinfección .

Ambos deberían hacerse definitivamente en el lado del servidor. Las protecciones del lado del cliente no prevendrán ataques como las secuencias de comandos entre sitios o la inyección de SQL.

En particular, creo que estás hablando de ataques de scripts entre sitios. Parece que este módulo de nodo ( enlace ) puede ser adecuado para lo que estás tratando de lograr.

Eliminar todas las etiquetas HTML no es necesariamente una gran idea. Esto se debe a que los scripts entre sitios basados en eventos aún pueden ser posibles. Por ejemplo:

<a href="/yourprofilename">yourprofilename</a>

Si el usuario tiene la capacidad de cambiar la sección su nombre de archivo , considere la siguiente entrada:

" onfocus="prompt(document.location); autofocus"

Esto convertiría el enlace en esto:

<a href="/" onfocus="prompt(document.location);" autofocus">yourprofilename</a>

Esto provocaría secuencias de comandos entre sitios sin el uso de etiquetas HTML.

Prueba el módulo npm strip-js . Elimina todo el código JavaScript de algún texto HTML haciendo lo siguiente:

• Sanitizing HTML
• Eliminando etiquetas de script
• Eliminando atributos como "onclick", "onerror", etc. que contienen código JavaScript
• Eliminando los atributos "href" que contienen código JavaScript

enlace