Esiste una linea guida standard su come dovrebbe apparire l'input igienizzato nel messaggio di errore?

Qualsiasi messaggio di errore non dovrebbe fornire informazioni all'attaccante se non il tentativo di fallire. Esempio: un errore di password / nome utente dovrebbe indicare che il tentativo è stato negativo, non se il nome utente è errato, o la password, o entrambi. In tal caso, tali informazioni potrebbero essere utilizzabili da un utente malintenzionato nel tentativo di eludere le misure di sicurezza. Qualcosa sulla falsariga di: "Indirizzo non valido" o "Indirizzo non trovato" nel caso di un campo Indirizzo sarebbe più che sufficiente. Lo stesso vale per qualsiasi altro campo.

Ora, sono incerto sul motivo per cui dovresti riesporre le informazioni dannose a chiunque tenti di inserire codice dannoso nel tuo sistema. Svela sicuramente ciò che accade dietro le quinte, invece di nascondere i meccanismi interni del tuo sistema all'attaccante.

Più vago è il migliore.

Come ha detto Desthro, un messaggio di errore non dovrebbe fornire troppe informazioni a un utente malintenzionato. Lo studio consigliato consiste nel visualizzare un messaggio di errore statico che non include nessuno dei dati forniti dall'utente. Il tuo messaggio di errore non dovrebbe indicare più di "Caratteri non validi nell'indirizzo". Se vuoi essere più utile, potresti essere un po 'più specifico e dire loro che "L'indirizzo deve contenere solo lettere, numeri e trattini" (o qualunque sia il tuo schema.)

Se si visualizza uno degli input nell'output, si rischia la possibilità di creare una sorta di attacco XSS inatteso, il tipo che si sta tentando di impedire. E non offre ai tuoi utenti legittimi alcun vantaggio aggiuntivo.