একটি উত্তরে অসুরক্ষিত কোড চিহ্নিত করুন

What this lesson is about

সেটি খুঁজুন যা কাজ করে কিন্তু ব্যবহার করা উচিত নয়। এটি মুছে দেয়, তথ্য ফাঁস করে, বা যেকোনো ইনপুটের ওপর বিশ্বাস করে।

একটি জমা দেওয়া প্রোগ্রাম আপনার অফিস সার্ভারের আপলোড ফোল্ডার পরিষ্কার করে, এবং এর সাথে আসা প্রতিটি টেস্ট পাস হয়েছে। এখন কী করবেন?

Why this matters

সঠিক হওয়া এবং নিরাপদ হওয়া দুইটি আলাদা প্রশ্ন, আর টেস্ট শুধু প্রথমটির উত্তর দেয়। একটি উত্তর সবকিছু পাস করেও ফোল্ডার মুছে দিতে পারে, ফাইল বাইরে পাঠাতে পারে, বা ব্যবহারকারীর টাইপ করা যেকোনো কিছু চালাতে পারে। সেটাই বলতে রিভিউয়ারকে টাকা দেওয়া হয়।

সেই লাইনটি নামুন যা কাজ করা সত্ত্বেও উত্তরে অসুরক্ষিত করে, এবং তার পরিবর্তে নিরাপদ লাইন লিখুন।

তিন ধরনের উত্তর প্রত্যাখ্যান করুন: যা জিজ্ঞাসা না করে মুছে দেয়, যা ডেটা বাইরে পাঠায়, যা যেকোনো ইনপুট চালায়।
কোডে লেখা API key, পাসওয়ার্ড বা ব্যক্তিগত কোনো তথ্য একটি ভুল।
বলা উচিত বাস্তব ডেটায় চালালে কী ক্ষতি হবে, কারণ সেটাই রিভিউ।

Task

একটি ছোট অফিস সার্ভারের আপলোড ফোল্ডার পরিষ্কার করার উত্তর রিভিউ করুন।

Weak approach নমুনা ফাইলগুলোতে চালায়, প্রতিটি লাইন পড়ে, এবং ফোল্ডার পরিষ্কার হওয়ায় উত্তর সঠিক বলে চিহ্নিত করে। ওই নমুনার ফাইল নামগুলো তার নিজের ছিল।

Stronger approach লাইন ১৪ দেখায়, যেখানে ফাইল নাম একটি shell কমান্ডে যায়। বলে, নামের মধ্যে যদি semicolon থাকে, তাহলে তার পরের যেকোনো কিছু চলবে।

Why the stronger approach works উভয় উত্তরই কোড কাজ করে বলে মেনে নিয়েছে। শুধু একটিই বলেছে অন্য কারো নামকৃত ফাইলে কী হবে।

Try a changed situation এক সহকর্মী একটি নোটবুক শেয়ার করেছে যা কাজ করে। দ্বিতীয় লাইনে তার নিজস্ব কী সাদামাঠা টেক্সটে লেখা আছে। সে বলে এটা শুধু পরীক্ষার জন্য। আপনি কী লিখবেন?

Make something yourself একটি উত্তর খুঁজুন যা চলে কিন্তু অসুরক্ষিত। সঠিক লাইনটি লিখুন, বাস্তব ডেটায় এটি কী করবে, এবং তার পরিবর্তে আপনি কোন নিরাপদ লাইন রাখবেন।

Read the primary or official source: Python documentation · subprocess security