如何使程序员停止编写易受SQL注入攻击的代码？

有时您会很忙，将一些小任务委派给初级程序员。但是，如果您没有给予足够的关注，您就会在生产中使用这种代码：

class DivtoggleController extends Zend_Controller_Action {

    public function closeAction() {
        /* ... code removed for brevity ... */

        $req = $this->getRequest();
        $formData = $req->getPost();

        $d = $formData['div'];
        $i = $formData['id'];

        $dm = new Model_DivtoggleManager();
        $rs = $dm->setDivToggleById($d, $i);

    }

}


class Model_DivtoggleManager extends Zend_Db_Table {

    public function setDivToggleById($div, $id) {
        $result = $this->getAdapter()->query(
           "update div_toggle set " . $div . "=1 where id=" . $id
        );
    }

}

因此，为简洁起见，鉴于我已经删除了身份验证/会话管理逻辑，谁能告诉我此样本可能存在什么问题？

您可以教他们。每个人一开始都会这样做，即使您也是如此。如果将这种类型的代码投入生产，那是老年人的错。不是初中。

编辑：

我所做的一件事是我个人主动要求人们在发布之前检查我的代码（包括初级版本）。对代码进行审查，初级用户将其视为学习经验，人们不再担心对代码审查的惩罚，因此他们开始做同样的事情。

在他们眼前乱砍他们的代码，然后向他们展示如何修复它。一遍又一遍，直到他们了解。

您可以要求他们在加入您的公司后立即上课，然后他们才能进行源代码控制访问，从而向他们介绍SQL注入，跨站点脚本编写，跨站点请求伪造以及其他常见漏洞。当面对面的例子时，破坏错误代码，让它们破坏错误代码，一旦“毕业”，就将它们指向OWASP网站以获取更多信息。

您还可以要求使用自定义库来为您处理此问题，但这只是辅助解决方案，因为他们将确保在更方便时运行自定义查询。

如果您有足够的资源，确保在提交之前确保团队中更多的高级成员验证其差异也很有用。

知识就是力量！

假设这是其他人以任何级别的开发人员所提到的不安全性，则很容易忘记getPost（）并没有首先保护数据。

解决此问题的一种方法是：

1. 编写一个获取所有POST / GET数据的类，并将其照原样写入名为“ insecure_data”的Singleton类。然后清除POST / GET数组。
2. 开发人员必须从“ insecure_data”数组而不是POST / GET数组中检索POST / GET数据。

任何从称为“ insecure_data”的数组中检索某些内容而又不打算保护它的开发人员都是无知的或懒惰的。如果是前者，请提供培训，之后必须是后者-然后您将遇到纪律问题，而不是编程问题。

我已阅读的有关Web安全性的最佳指南之一是Ruby on Rails安全性指南。尽管它是Ruby on Rails，但是许多概念适用于任何Web开发。我鼓励任何新手阅读该指南。

您上面链接的代码很容易受到SQL注入攻击的影响，因为您在查询中使用的HTTP输入尚未通过mysql_real_escape_string任何其他方式清除。

关于您的（大概是压倒一切的）“我怎样才能让程序员停止这样做”的问题，我想说的是定期指导他们，仔细解释所讨论的问题（以及潜在的后果等）并强调代码漏洞的重要性（从SQL注入和跨站点脚本等方面来说）可能是最明智的解决方案。

如果他们尽管上述所有事情仍然混乱不堪（您可能想关注他们的提交等，而不是发现“实时”），那么问题就出在您使他们作为导师失败了，还是他们也许需要找到更适合做生活的东西。