جواب ۾ غير محفوظ ڪوڊ ڳوليو

What this lesson is about

اهڙو جواب ڳوليو جيڪو ڪم ڪري ٿو پر استعمال لاءِ محفوظ ناهي: اهو ڪجھه مٽائي ٿو، ڪجھه ٻاهر موڪلي ٿو، يا ڪنهن به ان پٽ تي ڀروسو ڪري ٿو.

هڪ جمع ڪيل پروگرام توهان جي آفيس سرور جي اپلوڊ فولڊر کي صاف ڪري ٿو، ۽ هر ٽيسٽ جيڪا ان سان آئي هئي پاس ٿي وئي. هاڻي ڇا؟

Why this matters

صحیح ۽ محفوظ ٻه مختلف سوال آهن، ۽ ٽيسٽ صرف پهرين جو جواب ڏين ٿيون. هڪ جواب سڀ ڪجهه پاس ڪري سگهي ٿو ۽ اڃا به فولڊر ڊليٽ ڪري سگهي ٿو، فائل ٻاهر موڪلي سگهي ٿو، يا صارف جي لکيل ڪجھ به هلائي سگهي ٿو. اهو چوڻ ئي جائزي ڪندڙ جي ڪم جو مقصد آهي.

اهو لائن ٻڌايو جيڪو ڪم ڪندڙ جواب کي غير محفوظ بڻائي ٿو، ۽ ان جي جاءِ تي محفوظ لائن لکو.

ٽن قسمن جا جواب رد ڪريو: بغير پڇڻ جي ڊليٽ ڪرڻ وارو، ڊيٽا ٻاهر موڪلڻ وارو، ڪنهن به ان پٽ کي هلائيندڙ.
ڪوڊ ۾ لکيل API key، پاسورڊ يا ذاتي ڄاڻ هڪ ناڪامي آهي.
چئو ته حقيقي ڊيٽا تي هلڻ سان ڇا نقصان ٿيندو، ڇو ته اهو ئي جائزو آهي.

Task

هڪ جواب جو جائزو وٺو جيڪو ننڍڙي آفيس سرور جو اپلوڊ فولڊر صاف ڪري ٿو.

Weak approach نموني فائلن تي هلائي ٿو، هر لائن پڙهي ٿو، ۽ جواب صحيح چوندو آهي ڇو ته فولڊر صاف نڪتو. ان نموني جون سڀ فائلن جا نالا سندس پنهنجا هئا.

Stronger approach لائين 14 جو ذڪر ڪري ٿو، جتي فائل جو نالو شيل ڪمانڊ ۾ وڃي ٿو. چوندو آهي ته نالي ۾ هڪ semicolon هجي ته ان کان پوءِ ڪجھ به هلي سگهي ٿو.

Why the stronger approach works ٻئي جواب متفق آهن ته ڪوڊ ڪم ڪري ٿو. صرف هڪ ٻڌائي ٿو ته ڪنهن ٻئي جي نالي واري فائل تي ڇا ٿيندو.

Try a changed situation هڪ ساٿي هڪ نوٽ بڪ شيئر ڪري ٿو جيڪو ڪم ڪري ٿو. ٻئي لائن ۾ سندس پنهنجو ڪي سادي متن ۾ لکيل آهي. هو چوندو آهي ته اهو صرف ٽيسٽ لاءِ آهي. توهان ڇا لکو ٿا؟

Make something yourself اهڙو هڪ جواب ڳوليو جيڪو هلندو آهي ۽ اڃا به غير محفوظ آهي. صحيح لائن لکو، حقيقي ڊيٽا تي اهو ڇا ڪندو، ۽ ان جي جاءِ تي محفوظ لائن.

Read the primary or official source: Python documentation · subprocess security