SQLインジェクションに対して脆弱なコードの記述をプログラマーに停止させるにはどうすればよいですか？

時々忙しくなり、小さなタスクをジュニアプログラマに委任します。しかし、十分に注意を払わないと、この種のコードを本番環境で使用することになります。

class DivtoggleController extends Zend_Controller_Action {

    public function closeAction() {
        /* ... code removed for brevity ... */

        $req = $this->getRequest();
        $formData = $req->getPost();

        $d = $formData['div'];
        $i = $formData['id'];

        $dm = new Model_DivtoggleManager();
        $rs = $dm->setDivToggleById($d, $i);

    }

}


class Model_DivtoggleManager extends Zend_Db_Table {

    public function setDivToggleById($div, $id) {
        $result = $this->getAdapter()->query(
           "update div_toggle set " . $div . "=1 where id=" . $id
        );
    }

}

それで、簡潔にするために認証/セッション管理ロジックを削除したことを考えると、誰がこのサンプルにどんな問題があるのか​​教えてくれますか？

それらを教えることができます。誰でも、あなたでさえこれを最初に行います。このタイプのコードが本番環境に組み込まれた場合、上級者のせいです。後輩ではありません。

編集：

私がやったことの1つは、リリース前に自分のコード（ジュニアを含む）をレビューするよう人々に積極的に依頼することです。コードはレビューされ、後輩はそれを学習体験と見なし、人々は罰としてコードレビューの恐怖を失い、同じことを始めます。

目の前でコードをハックし、修正方法を示します。彼らが理解するまで何度も。

入社後すぐにクラスを受講するように彼らに指示することができます。彼らはソース管理アクセス権を得る前に、SQLインジェクション、クロスサイトスクリプティング、クロスサイトリクエストフォージェリ、およびその他の一般的な脆弱性を紹介します。例題を対面でカバーし、それらの前に悪いコードを破り、悪いコードを破らせ、「卒業」したら詳細情報を得るためにOWASPサイトにそれらを向けます。

さらに、これを処理するカスタムライブラリの使用を義務付けることもできますが、それは、より便利になったときにカスタムクエリを実行することが確実になるため、二次的なソリューションにすぎません。

リソースがある場合は、コミットする前にチームの上級メンバーが差分を確認することも役立ちます。

知識は力である！

あらゆるレベルの開発者として他の人が言及している不安であると仮定すると、getPost（）が最初にデータを保護していないことを忘れがちです。

これを回避する1つの方法は次のとおりです。

1. すべてのPOST / GETデータを取得し、「insecure_data」というシングルトンクラスにそのまま書き込むクラスを作成します。次に、POST / GET配列をクリアします。
2. 開発者は、POST / GET配列ではなく、 'insecure_data'配列からPOST / GETデータを取得する必要があります。

「insecure_data」と呼ばれる配列から何かを取得し、それを保護することを気にしない開発者は、無知か怠laです。前者の場合はトレーニングを提供し、その後は後者でなければなりません。プログラミングの問題ではなく、懲戒の問題が発生します。

私がWebセキュリティに関して読んだ最高のガイドの1つは、このRuby on Railsセキュリティガイドです。Ruby on Railsですが、多くの概念はあらゆるWeb開発に適用されます。私は新しい人にそのガイドを読んでもらうことをお勧めします。

上記でリンクしたコードは、SQLインジェクション攻撃を受けやすくなります。これは、クエリで使用しているHTTP入力がクリーンアップされていないmysql_real_escape_stringか、他の手段がないためです。

（おそらくオーバーライドする）「プログラマーにこれをやめるようにするには」という質問に関して、定期的にそれらを指導し、問題の問題（および潜在的なフォールアウトなど）を注意深く説明し、強調することコードの脆弱性（SQLインジェクションとクロスサイトスクリプティングなどの両方の面で）の重要性は、おそらく最も賢明なソリューションです。

上記のすべてにも関わらず、彼らが混乱を続けている場合（「ライブ」を見つけるのではなく、コミットに目を向けたい場合があります）、問題はメンターとして失敗していること、またはおそらく、彼らは生計を立てるためにより適した何かを見つける必要があります。