HTMLテキストフィールドでmaxlengthをバイパスする正当な方法はありますか？

Question

Webアプリケーションの例外ログに、ユーザが何らかの形で<input type="text" ...>がフィールドのmaxlength属性で指定されている文字より多く入力されたWebフォームを提出したことが示されているようです。これの唯一の結果は、ログに対するSQL例外を生成し、ユーザに一般的なエラーページを提示することであった（すなわち、ユーザはSQLエラーを認識しなかった）ので、損害は発生しなかった。しかし、私はこれがどのように起こったのか不思議です。

私は、（カスタム・クライアントを介して提出するなどFirebugは、とHTMLをいじる）、これを回避する方法が「ハッキング」されているが、これは（特定のブラウザを使用して、おそらく）起こることができる任意の正当なの方法があります知っています私はコード変更を通じて対応することができますか？

ハッキングによって生成された場合、変更は必要ありません.SQLエラーはシステムを害から保護します。しかし、ユーザーが合法的にこれを何とかヒットした場合は、修正したいと思います。

問題の場合...そのリクエストのユーザーエージェントはSafari/Mac (Mozilla/5.0 (Macintosh; U; Intel Mac OS X 10_6_5; en-us) AppleWebKit/533.19.4 (KHTML, like Gecko) Version/5.0.3 Safari/533.19.4でした）Windows Safariで問題を再現できず、Macにアクセスできない。

Answer 1

可能性が含まれます：

• を一部のWebブラウザは、（私は私の頭の上からいずれかを知らない）maxlength
• Greasemonkey様スクリプト
• 誰かが別のページを建て尊重しません

は覚えているフォーム、要求の一部として送信され、ブラウザの文字列としての場所に提出する、あるいはアプリケーションがそう簡単にそれもWORないことを偽造され基本的な分析以外の目的でそれを信頼しています。

一般的に、すべてのデータを検証する必要があり、不正なデータがシステム内部（データベースなど）に作成されないようにする必要があります。 HTML入力フィールドmaxlength属性および他のクライアント側の検証は、ユーザーの便宜のためにそこにありますが、あなたのサイトを保護するものではありません。さらに、独自の検証を実行すると、より良いエラーメッセージをユーザーに返すことができます。そして道を辿ると、何か問題が起こったときに自分のアプリケーションをデバッグするのにも役立ちます。

私の意見では、データベースエラーの原因となるユーザー提出データは重大な欠陥であり、おそらくシステムのセキュリティホールを示しています。

Answer 2

本当の解決策は、クライアント側ではなくサーバー側の検証を行うことです。確かに、maxlengthを設定することに害はないが、決してそれがあなたの最後の防衛ラインであるべきではない。