sanificando i Mi piace / i non validi nell'applicazione?

La sanificazione è banale, poiché questa variabile può essere solo due valori. Potresti renderlo un intiger e avere un valore di 1 per un up-vote e un valore di -1 per un down, nessun altro valore è valido. Ovviamente tutte le convalide basate sulla sicurezza devono sempre essere eseguite lato server.

Ma questo è l'ultimo dei tuoi problemi di sicurezza . La vera preoccupazione è costringere gli altri a votare per conto di un aggressore. Questo può accadere in diversi modi. Un utente malintenzionato potrebbe creare un gioco clickjacking in cui ogni volta che l'utente fa clic su un razzo per lanciare un qualche tipo di invasore di spazio è necessario infatti cliccando su un iframe invisibile che sta sparando un nuovo voto sul tuo sistema.

Un attacco ancora più virulento potrebbe essere l'utilizzo di Falsificazione richiesta tra siti (CSRF) per disattivare queste richieste in massa quando uno dei tuoi utenti visita un sito Web di aggressori. Il CSRF Prevention Cheat Sheet è una buona risorsa.

Quasi tutte le misure Anti-CSRF sono sconfitte da XSS , quindi assicurati che l'intero sito Web sia immune a questo attacco. Il Sammy Worm ha utilizzato XSS per sconfiggere il token Anti-CSRF di MySpace.

Inoltre, non dimenticare la creazione automatica dell'account, assicurati che gli utenti debbano risolvere un captcha strong come Recaptcha prima di poter creare un account. La verifica dell'email è banale da automatizzare e non credo sia una misura di sicurezza reale. Se hanno troppi accessi non riusciti dovrebbero anche essere richiesti con un Capthca.

Forse sto fraintendendo il tuo scenario, ma il modo in cui immagino che l'igienizzazione dovrebbe essere abbastanza facile.

Quando un utente fa un thumbs up / thumbs down di un post, in realtà ci dovrebbero essere solo 2 valori ammessi come input: il valore up o il valore down. Per motivi di semplicità, vorrei usare 1 come Su e 0 come Giù. Quindi per i servizi igienico-sanitari devi solo controllare che il valore sia 1 o 0 (o, se sei più rilassato, che sia numerico).

In JS, fai semplicemente qualcosa del tipo:

if(value !== 1 && value !== 0) {
    return false;
}

Tuttavia, l'utilizzo di JS come unica linea di difesa contro XSS è una pessima idea. Se qualcuno volesse inviarti dati errati, potrebbe semplicemente utilizzare cURL per inviare dati ignorando la convalida di javascript. Suggerisco caldamente di eseguire la convalida sul lato server e utilizzare la convalida JS come metodo per ridurre il numero di chiamate AJAX inutili.