الحدود الأمنية وسلامة الاعتماديات

import { join } from 'node:path';
function documentPath(base, id) {
  if (typeof id !== 'string' || !/^[a-z0-9]{1,32}$/.test(id)) throw new Error('Invalid document id');
  return join(base, `${id}.json`);
}
console.log(documentPath('/lab-owned', 'report7').endsWith('report7.json'));
try { documentPath('/lab-owned', '../secret'); } catch (error) { console.log(error.message); }

true
Invalid document id

يحسب المثال المسارات فقط ولا يقرأ أو يكتب في /lab-owned. ترفض قائمة المعرفات صياغة تجاوز المجلد.

function settings(text) {
  const value = JSON.parse(text);
  if (!value || typeof value !== 'object' || Array.isArray(value)) throw new Error('Expected object');
  if (Object.keys(value).some(key => key !== 'theme')) throw new Error('Unknown setting');
  if (!['light', 'dark'].includes(value.theme)) throw new Error('Invalid theme');
  return { theme: value.theme };
}
console.log(JSON.stringify(settings('{"theme":"dark"}')));
try { settings('{"__proto__":{"admin":true}}'); } catch (error) { console.log(error.message); }
console.log(Object.prototype.admin === undefined);

{"theme":"dark"}
Unknown setting
true

ينسخ المحلل قيمة معتمدة واحدة إلى كائن جديد. ولا تغير الحمولة المرفوضة Object.prototype.