جواب میں غیر محفوظ کوڈ تلاش کریں

What this lesson is about

وہ جواب تلاش کریں جو کام کرتا ہے لیکن پھر بھی استعمال نہیں ہونا چاہیے۔ یہ ڈیلیٹ کرتا ہے، لیک کرتا ہے، یا کسی بھی ان پٹ پر بھروسہ کر لیتا ہے۔

آپ کے دفتر کے سرور پر اپلوڈ فولڈر صاف کرنے والا ایک جمع کیا گیا پروگرام ہے، اور اس کے ساتھ آنے والے ہر ٹیسٹ میں کامیاب رہا۔ اب کیا کریں؟

Why this matters

صحیح ہونا اور محفوظ ہونا دو الگ سوالات ہیں، اور ٹیسٹ صرف پہلے کا جواب دیتے ہیں۔ کوئی جواب سب کچھ پاس کر کے بھی فولڈر ڈیلیٹ کر سکتا ہے، فائل باہر بھیج سکتا ہے، یا جو صارف لکھے وہ چلا سکتا ہے۔ یہی بات کہنا جائزہ لینے والے کی تنخواہ کا حق ہے۔

وہ لائن بتائیں جو کام کرنے والا جواب غیر محفوظ بناتی ہے، اور اس کی جگہ محفوظ لائن لکھیں۔

تین قسم کے جوابات مسترد کریں: جو بغیر پوچھے ڈیلیٹ کرے، ڈیٹا باہر بھیجے، یا کوئی بھی ان پٹ چلا دے۔
کوڈ میں لکھی ہوئی API key، پاسورڈ یا ذاتی معلومات ایک ناکامی ہے۔
بتائیں کہ اصلی ڈیٹا پر چلنے سے کیا نقصان ہوگا، کیونکہ یہی جائزہ ہے۔

Task

ایسے جواب کا جائزہ لیں جو چھوٹے دفتر کے سرور کا اپ لوڈ فولڈر صاف کرتا ہے۔

Weak approach یہ سیمپل فائلوں پر چلتا ہے، ہر لائن پڑھتا ہے، اور چونکہ فولڈر صاف نکلا، جواب کو درست مارک کر دیتا ہے۔ اس سیمپل میں فائل کے نام اس کے اپنے تھے۔

Stronger approach لائن 14 کا ذکر کرتا ہے، جہاں فائل کا نام شیل کمانڈ میں جاتا ہے۔ کہتا ہے کہ اگر نام میں semicolon ہو تو اس کے بعد کچھ بھی چل سکتا ہے۔

Why the stronger approach works دونوں جوابات مانتے ہیں کہ کوڈ چلتا ہے۔ صرف ایک بتاتا ہے کہ کسی اور کے رکھے نام والی فائل پر کیا ہوگا۔

Try a changed situation ایک ساتھی ایک نوٹ بک شیئر کرتا ہے جو چلتی ہے۔ دوسری لائن میں اس کی اپنی کلید سادہ متن میں لکھی ہے۔ وہ کہتا ہے یہ صرف ٹیسٹنگ کے لیے ہے۔ آپ کیا لکھیں گے؟

Make something yourself ایسا ایک جواب تلاش کریں جو چلتا ہے اور پھر بھی غیر محفوظ ہے۔ بالکل وہ لائن لکھیں، اصلی ڈیٹا پر وہ کیا کرے گی، اور اس کی جگہ آپ کون سی محفوظ لائن رکھیں گے۔

Read the primary or official source: Python documentation · subprocess security