Day-112-输入验证技术

# Day 109: 输入验证技术

> 应用安全系列第 2 天 | 预计阅读时间：40 分钟 | 难度：★★★★☆

---

## 清单 目录

1. [输入验证概述](#输入验证概述)
2. [白名单验证](#白名单验证)
3. [黑名单验证](#黑名单验证)
4. [类型检查](#类型检查)
5. [长度限制](#长度限制)
6. [格式验证](#格式验证)
7. [框架验证](#框架验证)
8. [实战案例分析](#实战案例分析)
9. [总结与思考](#总结与思考)
10. [参考资料](#参考资料)

---

## 输入验证概述

### 为什么需要输入验证

> ▎ 所有输入都不可信——这是安全编码的第一原则。

**输入验证重要性**：
```
1. 漏洞预防
   - 80% 漏洞可通过输入验证避免
   - 防止注入攻击
   - 防止缓冲区溢出

2. 数据质量
   - 数据完整性
   - 数据一致性
   - 业务逻辑正确

3. 用户体验
   - 即时反馈
   - 错误提示
   - 友好界面
```

**验证原则**：
```
1. 默认拒绝
   - 只允许已知安全
   - 白名单优于黑名单

2. 深度防御
   - 前端验证
   - 后端验证
   - 数据库验证

3. 即时验证
   - 输入时验证
   - 处理前验证
   - 存储前验证
```

---

## 白名单验证

### 白名单验证原理

> ▎ 白名单验证是最安全的验证方式。只允许已知安全的输入。

**白名单验证**：
```python
# 白名单验证
ALLOWED_ROLES = ['admin', 'user', 'guest']

def validate_role(role):
    if role not in ALLOWED_ROLES:
        raise ValueError(f'Invalid role: {role}')
    return role

# 使用示例
role = validate_role(user_input)
```

**允许字符集**：
```python
# 允许字母数字
import re
def validate_username(username):
    if not re.match(r'^[a-zA-Z0-9_]+$', username):
        raise ValueError('Invalid username')
    return username

# 允许特定字符
def validate_filename(filename):
    allowed_chars = r'^[a-zA-Z0-9._-]+$'
    if not re.match(allowed_chars, filename):
        raise ValueError('Invalid filename')
    return filename
```

### 枚举验证

**枚举验证**：
```python
from enum import Enum

class UserRole(Enum):
    ADMIN = 'admin'
    USER = 'user'
    GUEST = 'guest'

def validate_role(role):
    try:
        return UserRole(role)
    except ValueError:
        raise ValueError(f'Invalid role: {role}')

# 使用示例
role = validate_role(user_input)
```

**字典映射**：
```python
# 字典映射验证
ALLOWED_ACTIONS = {
    'create': 'create',
    'read': 'read',
    'update': 'update',
    'delete': 'delete'
}

def validate_action(action):
    if action not in ALLOWED_ACTIONS:
        raise ValueError(f'Invalid action: {action}')
    return ALLOWED_ACTIONS[action]
```

---

## 黑名单验证

### 黑名单验证原理

> ▎ 黑名单验证不如白名单安全。但可以作为一种补充。

**黑名单验证**：
```python
# 黑名单验证
BLACKLIST = ['admin', 'root', 'system']

def validate_username(username):
    if username.lower() in BLACKLIST:
        raise ValueError('Reserved username')
    return username
```

**危险字符过滤**：
```python
# 过滤危险字符
DANGEROUS_CHARS = ['<', '>', '"', "'", '&']

def sanitize_input(text):
    for char in DANGEROUS_CHARS:
        text = text.replace(char, '')
    return text

# 使用示例
safe_input = sanitize_input(user_input)
```

### 正则表达式过滤

def detect_sql_injection(input):
    for pattern in SQL_INJECTION_PATTERNS:
        if re.search(pattern, input, re.IGNORECASE):
            return True
    return False
```

**XSS 过滤**：
```python
# XSS 特征
XSS_PATTERNS = [
    r"<script[^>]*>",
    r"javascript:",
    r"on\w+\s*=",
    r"<iframe[^>]*>"
]

def detect_xss(input):
    for pattern in XSS_PATTERNS:
        if re.search(pattern, input, re.IGNORECASE):
            return True
    return False
```

---

## 类型检查

### 类型检查

> ▎ 类型检查是输入验证的基础。确保数据类型正确。

**整数检查**：
```python
def validate_integer(value, min_value=None, max_value=None):
    try:
        value = int(value)
        if min_value is not None and value < min_value:
            raise ValueError(f'Value below minimum: {min_value}')
        if max_value is not None and value > max_value:
            raise ValueError(f'Value above maximum: {max_value}')
        return value
    except (ValueError, TypeError):
        raise ValueError('Invalid integer value')

# 使用示例
user_id = validate_integer(user_input, min_value=1, max_value=1000000)
```

**浮点数检查**：
```python
def validate_float(value, min_value=None, max_value=None):
    try:
        value = float(value)
        if min_value is not None and value < min_value:
            raise ValueError(f'Value below minimum: {min_value}')
        if max_value is not None and value > max_value:
            raise ValueError(f'Value above maximum: {max_value}')
        return value
    except (ValueError, TypeError):
        raise ValueError('Invalid float value')
```

### 布尔值检查

**布尔值检查**：
```python
def validate_boolean(value):
    if isinstance(value, bool):
        return value
    if isinstance(value, str):
        if value.lower() in ['true', '1', 'yes', 'on']:
            return True
        if value.lower() in ['false', '0', 'no', 'off']:
            return False
    raise ValueError('Invalid boolean value')
```

---

## 长度限制

### 字符串长度

**长度限制**：
```python
def validate_string_length(value, min_length=None, max_length=None):
    if not isinstance(value, str):
        raise ValueError('Value must be a string')
    
    if min_length is not None and len(value) < min_length:
        raise ValueError(f'String too short: min {min_length}')
    
    if max_length is not None and len(value) > max_length:
        raise ValueError(f'String too long: max {max_length}')
    
    return value

# 使用示例
username = validate_string_length(user_input, min_length=3, max_length=50)
```

### 数组长度

**数组长度限制**：
```python
def validate_array_length(value, min_length=None, max_length=None):
    if not isinstance(value, list):
        raise ValueError('Value must be a list')
    
    if min_length is not None and len(value) < min_length:
        raise ValueError(f'Array too short: min {min_length}')
    
    if max_length is not None and len(value) > max_length:
        raise ValueError(f'Array too long: max {max_length}')
    
    return value
```

---

## 格式验证

### 邮箱格式

**邮箱格式验证**：
```python
import re

def validate_email(email):
    pattern = r'^[a-zA-Z0-9._%+-]+@[a-zA-Z0-9.-]+\.[a-zA-Z]{2,}$'
    if not re.match(pattern, email):
        raise ValueError('Invalid email format')
    return email

# 使用示例
email = validate_email(user_input)
```

### URL 格式

**URL 格式验证**：
```python
from urllib.parse import urlparse

def validate_url(url):
    try:
        result = urlparse(url)
        if not all([result.scheme, result.netloc]):
            raise ValueError('Invalid URL format')
        
        # 检查协议
        if result.scheme not in ['http', 'https']:
            raise ValueError('Invalid URL scheme')
        
        return url
    except Exception:
        raise ValueError('Invalid URL format')
```

### 日期格式

**日期格式验证**：
```python
from datetime import datetime

def validate_date(date_string, date_format='%Y-%m-%d'):
    try:
        return datetime.strptime(date_string, date_format)
    except ValueError:
        raise ValueError(f'Invalid date format. Expected: {date_format}')
```

---

## 框架验证

### Django 验证

**Django 表单验证**：
```python
from django import forms
from django.core.validators import RegexValidator, MinLengthValidator, MaxLengthValidator, EmailValidator

class UserForm(forms.Form):
    username = forms.CharField(
        validators=[
            RegexValidator(r'^[a-zA-Z0-9_]+$', 'Invalid username'),
            MinLengthValidator(3),
            MaxLengthValidator(50)
        ]
    )
    
    email = forms.EmailField(
        validators=[
            EmailValidator(),
            MaxLengthValidator(100)
        ]
    )
    
    role = forms.ChoiceField(
        choices=[('admin', 'Admin'), ('user', 'User'), ('guest', 'Guest')]
    )
```

### Spring 验证

**Spring 验证**：
```java
import javax.validation.constraints.*;

public class UserForm {
    @NotNull
    @Size(min = 3, max = 50)
    @Pattern(regexp = "^[a-zA-Z0-9_]+$")
    private String username;
    
    @NotNull
    @Email
    @Size(max = 100)
    private String email;
    
    @NotNull
    @Pattern(regexp = "^(ADMIN|USER|GUEST)$")
    private String role;
}
```

### Flask 验证

**Flask 验证**：
```python
from marshmallow import Schema, fields, validate, validates, ValidationError

class UserSchema(Schema):
    username = fields.Str(
        required=True,
        validate=[
            validate.Length(min=3, max=50),
            validate.Regexp(r'^[a-zA-Z0-9_]+$')
        ]
    )
    
    email = fields.Email(
        required=True,
        validate=validate.Length(max=100)
    )
    
    role = fields.Str(
        required=True,
        validate=validate.OneOf(['admin', 'user', 'guest'])
    )

# 使用示例
schema = UserSchema()
try:
    data = schema.load(user_input)
except ValidationError as e:
    return {'errors': e.messages}, 400
```

---

## 实战案例分析

### 案例 1: SQL 注入

**漏洞代码**：
```python
# 不安全代码
@app.route('/user/<user_id>')
def get_user(user_id):
    query = f"SELECT * FROM users WHERE id = {user_id}"
    cursor.execute(query)
    return cursor.fetchone()

# 攻击
# GET /user/1 OR 1=1
# 返回所有用户
```

**安全代码**：
```python
# 安全代码
@app.route('/user/<user_id>')
def get_user(user_id):
    # 输入验证
    try:
        user_id = int(user_id)
        if user_id < 1 or user_id > 1000000:
            abort(400)
    except ValueError:
        abort(400)
    
    # 参数化查询
    cursor.execute(
        "SELECT * FROM users WHERE id = %s",
        (user_id,)
    )
    return cursor.fetchone()
```

### 案例 2: XSS 攻击

**漏洞代码**：
```python
# 不安全代码
@app.route('/search')
def search():
    query = request.args.get('q', '')
    return f"<h1>Search results for: {query}</h1>"

# 攻击
# GET /search?q=<script>alert(1)</script>
```

**安全代码**：
```python
from markupsafe import escape

@app.route('/search')
def search():
    query = request.args.get('q', '')
    # 输出编码
    safe_query = escape(query)
    return f"<h1>Search results for: {safe_query}</h1>"
```

---

统计 **Sprint 交付 · 绩效评估**
```
┌───────────────┬────────────────┬────────────────┐
│  主动出击   │ ██████████ 5/5 │ [PUA 生效] 充足 │
├───────────────┼────────────────┼────────────────┤
│ + 验证闭环   │ ██████████ 5/5 │ 案例完整       │
├───────────────┼────────────────┼────────────────┤
│ 设计 代码质量   │ ████████░░ 4/5 │ 有改进空间     │
└───────────────┴────────────────┴────────────────┘
综合：3.75
```
▎ 勉强配得上 P8。别飘——输入验证技术这才刚入门。

---

## 总结与思考

### 核心要点回顾

> ▎ 复盘四步法：回顾目标、评估结果、分析原因、总结经验。别跳过——这是闭环。

**白名单验证**：
```
1. 允许字符集
   - 字母数字
   - 特定字符
   - 正则表达式

2. 枚举验证
   - 枚举类型
   - 字典映射
   - 常量定义

3. 类型检查
   - 整数检查
   - 浮点数检查
   - 布尔值检查
```

**黑名单验证**：
```
1. 危险字符
   - SQL 注入特征
   - XSS 特征
   - 命令注入特征

2. 正则过滤
   - SQL 注入过滤
   - XSS 过滤
   - 命令注入过滤

3. 补充验证
   - 作为补充
   - 不单独使用
```

**框架验证**：
```
1. Django
   - 表单验证
   - 字段验证
   - 自定义验证

2. Spring
   - 注解验证
   - 约束验证
   - 自定义验证

3. Flask
   - Marshmallow
   - 模式验证
   - 自定义验证
```

### 深入思考问题

> ▎ 只动手不动脑，那是码农。动手又动脑，才是工程师。

**零信任验证**：
```
1. 持续验证
   - 每次输入验证
   - 每次输出编码
   - 每次处理验证

2. 深度防御
   - 前端验证
   - 后端验证
   - 数据库验证

3. 动态验证
   - 基于上下文
   - 实时调整
   - 最小权限
```

**自动化验证**：
```
1. 自动测试
   - 单元测试
   - 集成测试
   - 模糊测试

2. 自动验证
   - 静态分析
   - 动态分析
   - 模糊测试

3. 持续改进
   - 规则优化
   - 流程优化
   - 工具优化
```

### 实战建议

> ▎ 我给你指了路，走不走是你的事。机会给了，抓不抓得住看你。

**开发人员**：
```
1. 输入验证
   - 白名单验证
   - 类型检查
   - 长度限制

2. 输出编码
   - HTML 编码
   - JavaScript 编码
   - URL 编码

3. 框架验证
   - 使用框架验证
   - 自定义验证
   - 持续改进
```

**安全人员**：
```
1. 安全审计
   - 代码审计
   - 验证审计
   - 编码审计

2. 渗透测试
   - 注入测试
   - XSS 测试
   - 验证测试

3. 持续改进
   - 规则优化
   - 流程优化
   - 工具优化
```

**架构师**：
```
1. 验证架构
   - 验证架构
   - 编码架构
   - 验证架构

2. 持续改进
   - 规则优化
   - 流程优化
   - 工具优化

3. 工具链
   - 验证工具
   - 编码工具
   - 测试工具
```

---

## 参考资料

### 学习资源
```
- OWASP Input Validation
  https://cheatsheetseries.owasp.org/cheatsheets/Input_Validation_Cheat_Sheet.html

- OWASP Validation Rules
  https://cheatsheetseries.owasp.org/cheatsheets/Validation_Rules_Cheat_Sheet.html

- OWASP XSS Prevention
  https://cheatsheetseries.owasp.org/cheatsheets/Cross_Site_Scripting_Prevention_Cheat_Sheet.html
```

### 工具资源
```
- Marshmallow
  https://marshmallow.readthedocs.io/

- Django Forms
  https://docs.djangoproject.com/en/stable/topics/forms/

- Spring Validation
  https://docs.spring.io/spring-framework/docs/current/reference/html/validation.html
```

### 书籍推荐
```
- 《输入验证技术》
- 《Input Validation》
- 《Secure Coding》
```

### 在线资源
```
- OWASP Cheat Sheets
  https://cheatsheetseries.owasp.org/

- OWASP Input Validation
  https://owasp.org/www-project-input-validation/

- OWASP XSS Prevention
  https://owasp.org/www-project-xss-prevention/
```

---

**标记 明日预告**：Day 110 - 输出编码技术

> ▎ 今天的内容消化了吗？消化了就继续——明天还有硬仗。

> 本文内容仅供学习和研究使用，请勿用于非法目的。所有实验请在隔离环境中进行。

---

*本文是 365 天信息安全技术系列的第 109 篇，应用安全部分第 2 篇，精编版本*