Valider les entrées utilisateur : le réflexe numéro 1

itsnovaa – 2026-11-07

La majorité des failles web viennent de données non contrôlées. Deux règles : 1. Ne construisez jamais une requête SQL en concaténant du texte. Utilisez des requêtes paramétrées. À éviter (Python) : cur.execute("SELECT FROM users WHERE name = '" + name + "'") À faire : cur.execute("SELECT FROM users WHERE name = ?", (name,)) 2. Échappez toujours ce que vous affichez dans une page (contre le XSS) et validez côté serveur : la validation côté navigateur n’est qu’un confort, pas une protection. Principe général : validez en entrée (type, longueur, format) et encodez en sortie.

fadedmilo – 2026-11-07

Pour tester vos propres applications, OWASP propose des environnements d’entraînement volontairement vulnérables (par exemple OWASP Juice Shop), à installer chez vous.