Inmatningssanering

Inmatningssanering, eller input sanitization, är processen att rena och begränsa användar- eller systeminmatningar innan de används av ett program eller en tjänst. Syftet är att förhindra att skadlig eller oväntad data behandlas, vilket kan leda till säkerhetsproblem såsom SQL-injektion, XSS eller kommandoexekvering, samt att data följer förväntade format och regler.

Det innefattar att validera mot kontextuella regler, rensa oönskade tecken och/eller koda data beroende på sammanhang. Det är viktigt att skilja mellan validering och sanering; sanering är oftast att ta bort eller neutralisera farliga delar medan validering avgör om data uppfyller krav. Sanering bör användas tillsammans med robust autentisering, auktorisering och övergripande säkerhetsåtgärder.

Tekniker inkluderar att använda parametriserade frågor i databaser, escaping eller encoding beroende på sammanhang (HTML-escaping för webbsidor, SQL-escaping för databaser, shell-escaping för kommandon). Använd whitelistning av tillåtna tecken i stället för blacklistning. Utnyttja ramverkets inbyggda funktioner för sanering och validering. Normalisering och trimning kan tillämpas där det är lämpligt för att förhindra oönskad inverkan av olika inmatningsformat.

Säkerhetsfördelar och begränsningar: rätt tillvägagångssätt minskar attackytan men ersätter inte övergripande säkerhetsåtgärder som stark autentisering och korrekt auktorisering. Inmatningssanering bör tillämpas i flera lager och i varje kontext där data används. Felaktig sanering kan skada funktionalitet eller låta attacker passera.

Organisationer följer ofta säkerhetsramverk och riktlinjer som OWASP, som betonar säkert handhavande av indata genom hela applikationens livscykel.