消毒任意用户输入

Question

我正在接受STL文件，对它们进行一些简单处理（计数面，计算总体积等）并向用户返回一些统计信息。没有数据库或持久性计划（尽管未来可能会添加）。用户可以上传文件或指向URL。

为了清理使用输入和保护Tornado服务器，我应该考虑什么？

• 我正在使用自动转义html的模板系统。
• 我也可以impliment逻辑，检查输入“看起来像”有效的STL格式，因为我解析它：二进制STL只是浮动;我也知道ascii STL的格式是什么样子。
• 我已经做了一些初步的研究，包括：
  • When is it Best to Sanitize User Input?
  • What is the best way to sanitize user inputs?
  • 许多人。

我缺少什么明显？

Answer 1

没有你给的代码，我们所能做的就是猜测：

1. 想想边界条件，同时表示之间转换（二进制 - >浮动，ASCII码 - >二进制）
2. 想想计算出的结果统计数据将在Web浏览器中呈现？是否可以打印一些UTF-8代码，或者是否可以插入JavaScript？