È possibile filtrare l'input dell'utente sul lato del browser per prevenire l'iniezione?

Sì, è possibile aggiungere qualcosa di simile sul lato client, ma non sarebbe efficace. Non sprecherò il tuo tempo ad aggiungere questo tipo di protezione al tuo cliente. Dal momento che è sul lato client, un utente malintenzionato può (e lo farà) bypassarlo immediatamente usando un proxy HTTP o qualcosa di simile.

Vorrei raccomandare di leggere il libro Manuale del pirata informatico per le applicazioni Web . Questo spiega in dettaglio come un utente malintenzionato attaccherà il tuo sito e ti indicherà strumenti gratuiti che ti permetteranno di attaccare un sito di test che controlli nello stesso modo di un hacker. Effettivamente questo ti aprirà gli occhi su come funziona davvero la sicurezza web.

Ci sono due errori:

• In caso di un attacco di iniezione contro il server, il client stesso è l'attaccante. In altre parole, stai chiedendo all'attaccante di impedire il loro stesso attacco. Questo ovviamente non ha senso. Anche se la persona che utilizza il browser è effettivamente dalla tua parte e ha perso il controllo del browser (a causa di XSS, CSRF o qualsiasi altra cosa), è sicuro presumere che il client salvi tutte le azioni di sicurezza che chiedi per.

• Sembra che ci sia una sorta di procedura unica per tutti per rendere magicamente l'input "sicuro". Ma gli attacchi per iniezione dipendono esattamente dal contesto . Stiamo parlando di iniezione HTML? SQL Injection? Iniezione di guscio? Ognuno di questi lavori differisce e richiede diversi modi di protezione. L'unico modo valido per gestirlo è preparare il lato dati server per ogni specifico contesto.