جواب منز نا محفوظ کوڈ پہچان

What this lesson is about

وہ جواب ڈھونڈ جو چلتا ہے پر استعمال کرن منز محفوظ نہ ہے۔ یہ مٹان، لیک کران یا ہر انپٹ پر بھروسہ کران۔

ایک جمع کرایا گیا پروگرام آپ کے دفتر کے سرور پر اپلوڈ فولڈر صاف کرتا ہے، اور اس کے ساتھ آنے والی ہر جانچ پاس ہوئی۔ اب کیا؟

Why this matters

صحیح اور محفوظ دو الگ سوال ہیں، اور ٹیسٹ صرف پہلا جواب دیتے۔ جواب سب پاس کر کے بھی فولڈر مٹا سکتا، فائل باہر بھیج سکتا، یا یوزر کا لکھا کچھ بھی چلا سکتا۔ یہی بات کہنا ریویور کی تنخواہ ہے۔

وہ لائن بتاؤ جو چلتے ہوئے جواب نا محفوظ بناتی، اور اس کی جگہ محفوظ لائن لکھو۔

تین قسم کے جواب منع کرو: بغیر پوچھے مٹانے والا، ڈیٹا باہر بھیجنے والا، ہر انپٹ چلانے والا۔
API key، password یا ذاتی تفصیل جو کوڈ میں لکھی گئی ہو، ناکامی ہے۔
بتاؤ اصلی ڈیٹا پر چلنے سے کیا نقصان ہوگا، کیونکہ یہی ریویو ہے۔

Task

ایسا جواب ریویو کرو جو چھوٹے دفتر سرور کا اپلوڈ فولڈر صاف کرتا۔

Weak approach یہ نمونہ فائلوں پر چلتا ہے، ہر لائن پڑھتا ہے، اور جواب کو درست نشان زد کرتا ہے کیونکہ فولڈر صاف نکلا۔ اس نمونے کی فائلوں کے نام سب اس کے اپنے تھے۔

Stronger approach لائن 14 کا ذکر کرتا ہے، جہاں فائل کا نام shell کمانڈ میں جاتا ہے۔ کہتا ہے کہ اگر نام میں semicolon ہو تو اس کے بعد کچھ بھی چل سکتا ہے۔

Why the stronger approach works دونوں جواب مانتے کوڈ چلتا ہے۔ صرف ایک بتاتا کہ کسی اور کے رکھے نام پر کیا ہوگا۔

Try a changed situation ساتھی ایک نوٹ بک دیتا جو چلتی ہے۔ لائن دو میں اس کی اپنی کی سادہ متن میں ہے۔ کہتا صرف ٹیسٹنگ کے لیے ہے۔ تم کیا لکھو گے؟

Make something yourself ایسا جواب ڈھونڈو جو چلتا ہے اور پھر بھی نا محفوظ ہے۔ ٹھیک وہ لائن لکھو، اصلی ڈیٹا پر کیا کرے، اور اس کی جگہ محفوظ لائن۔

Read the primary or official source: Python documentation · subprocess security