Mijoz tomonidan potentsial xavfli kirishlardan ilova qanday himoyalanadi?

Xavfsizlik uchun xavfli kirishni oldini olish:

1. Ma'lumotlarni sanitizatsiya qilish: Foydalanuvchi kiritmasini potentsial zararli koddan (HTML, JavaScript) tozalash, sahifada ko'rsatishdan oldin.

   // DOMPurify yordamida sanitizatsiya qilish misoli
   const cleanHtml = DOMPurify.sanitize(userInput);
   

2. Chiqarishni shifrlash: Kodni bajarilishini oldini olish uchun maxsus belgilarni xavfsiz ekvivalentlariga aylantiring.

   <!-- Shifrlash misoli -->
   <p id="output"></p>
   <script>
     const userInput = "<script>alert('XSS')</script>";
     document.getElementById('output').textContent = userInput; // Xavfsiz chiqarish uchun textContent ishlatilmoqda
   </script>
   

3. Content Security Policy (CSP): Brauzer tomonidan yuklanishi va bajarilishi mumkin bo'lgan kontent manbalarini cheklash uchun HTTP sarlavhasi Content-Security-Policy ni sozlang.

   Content-Security-Policy: default-src 'self'; script-src 'self' https://cdnjs.cloudflare.com; style-src 'self' 'unsafe-inline';
   

4. Ma'lumotlarni tekshirish: Foydalanuvchi kiritmasini kutilgan format, ma'lumot turi va uzunlikka mosligini tekshiring, ham mijozda, ham serverda.

   // Mijoz tarafidan validatsiya misoli
   if (inputField.value.length > 100) {
     // Validatsiya xatosi
   }
   

5. Xavfsiz API va kutubxonalarni ishlatish: DOM bilan ishlash, ma'lumotlarni qayta ishlash va innerHTML ni tozalash uchun ishonchli API va kutubxonalarni afzal qiling.

6. Foydalanuvchi huquqlarini cheklash: Minimal huquqlar prinsipini qo'llang, shunda foydalanuvchi interfeysi muayyan ruxsatsiz xavfli harakatlarni amalga oshirishiga yo'l qo'ymaydi.

7. HTTPS: Har doim HTTPS ni ishlating, shunda mijoz va server o'rtasidagi ma'lumotlar shifrlanadi.

8. CSRF (Cross-Site Request Forgery) dan himoya: So'rovlarning haqiqiyligini tekshirish uchun CSRF tokenlaridan foydalaning.

   // CSRF token yuborish misoli
   fetch('/api/update', {
     method: 'POST',
     headers: {
       'X-CSRF-Token': csrfToken
     },
     body: JSON.stringify(data)
   });
   

9. HttpOnly flag bilan cookie: Sessiya cookie lar uchun HttpOnly flag ni o'rnating, shunda JavaScript orqali ularga kirish mumkin bo'lmaydi.

10. Kutubxonalar va ramkalarni muntazam yangilash: Ishlatilayotgan kutubxonalar va ramkalarni yangilab turing, shunda ma'lum bo'lgan zaifliklar bartaraf etiladi.