Нужно ли фильтровать значения, записываемые в MongoDB?

Question

[likejavascript]

На текущий момент фильтрую все, что должно попадать в MongoDB с помощью validator.js

var value = sanitizer.sanitize('возможный xss');
db.collection.update({"_id": ObjectId(...)}, {"name": value});

Но начал задумываться, нужно ли это? Поскольку на клиенте перед выводом данных все проходит через

var HTML_CHARS = {
   '&': '&',
   '<': '&lt;',
   '>': '&gt;',
   '"': '&quot;',
   "'": '&#x27;',
   '/': '&#x2F;',
    '`': '&#x60;'
}

var escapeHTML = function (html) {
  return html.replace(/[&<>"'\/`]/g, function (match) {
      return HTML_CHARS[match];
  });
};

var cleaned = escapeHTML("возможный xss");

Как считаете?

Answer 1

[maxaon]

Проверка на xss должна производится при генерации html. Проверка при сохранении - лишь дополнительный плюс. И по поводу проверки на xss https://github.com/chriso/validator.js#deprecations

Для монги, как и для любой СУБД важна проверка на инъекции. Можете начать со статьи на хабре и статьи о null byte

Answer 2

[Eugene Obrezkov]

Можете использовать ORM Waterline, где валидаторы уже есть.
А вообще лучше делать проверки и на клиенте и на сервере - всё верно :)

Comments

[likejavascript]

Подскажите какой метод валидации применяется ORM Waterline для mongodb?

[Eugene Obrezkov]

@likejavascript https://github.com/balderdashy/waterline#validations