Comment puis-je limiter en toute sécurité la taille du formulaire POST dans Go pour éviter les vulnérabilités de sécurité ?

Limitation de la taille du formulaire dans Go pour des raisons de sécurité

Lors de l'utilisation du package http de Go pour gérer les requêtes de formulaire POST, la limite par défaut pour la taille du corps de la requête est 10 Mo. Bien que cela puisse suffire dans de nombreux cas, il peut y avoir des situations dans lesquelles il est conseillé de réduire cette limite pour atténuer les risques de sécurité.

Pour restreindre davantage la taille du formulaire, l'approche suggérée consiste à utiliser la fonction http.MaxBytesReader. Cette fonction crée un nouveau lecteur qui limite le nombre maximum d'octets pouvant être lus à partir du corps de la requête. Par exemple :

r.Body = http.MaxBytesReader(w, r.Body, MaxFileSize) 
err := r.ParseForm()
if err != nil {
     // Redirect to error page
     return
}

En encapsulant le corps de la requête avec http.MaxBytesReader, l'analyse de la requête se terminera si la taille du fichier dépasse la limite spécifiée MaxFileSize. Cependant, il est crucial de noter que la définition de l'indicateur d'erreur ne ferme pas automatiquement la connexion. L'approche recommandée consiste à définir une limite de temps pour l'analyse des requêtes à l'aide de Server.ReadTimeout.

Si vous gérez plusieurs gestionnaires et souhaitez implémenter cette limite globalement, vous pouvez utiliser une fonction middleware telle que :

type maxBytesHandler struct {
     h http.Handler
     n int64
 }

 func (h *maxBytesHandler) ServeHTTP(w http.ResponseWriter, r *http.Request) {
     r.Body = http.MaxBytesReader(w, r.Body, h.n) 
     h.h.ServeHTTP(w, r)
 }

Ce middleware peut ensuite être enroulé autour du gestionnaire racine, garantissant que toutes les requêtes sont soumises à la limite de taille.

En implémentant ces techniques, vous pouvez limiter efficacement la taille des requêtes du formulaire POST, empêchant les acteurs malveillants d'exploiter une consommation excessive de ressources ou des attaques par déni de service.

Ce qui précède est le contenu détaillé de. pour plus d'informations, suivez d'autres articles connexes sur le site Web de PHP en chinois!