Thử thách: bốn interpreter, một nguyên tắc

Năm bài trước dạy bốn interpreter cụ thể: SQL, ORM, HTML, shell, XML. Bài này kiểm một thứ khác: bạn có nhận ra một interpreter mà bài học chưa dạy hay không.

Vì trong công việc thật, interpreter thứ sáu luôn xuất hiện — một template engine, một thư viện expression, một trình chạy quy tắc, một truy vấn LDAP, một chuỗi định dạng log. Không danh sách nào phủ hết, nên thứ đáng học là cách nhận ra.

Ba câu hỏi, và chúng đủ cho mọi interpreter bạn sẽ gặp:

1. Dữ liệu này đi vào một thứ sẽ phân tích nó không? Nếu nó chỉ được lưu hoặc so sánh thì không phải injection.
2. Có ranh giới nào tách lệnh và dữ liệu ở tầng giao thức không? Có → tham số hoá. Không → phải tự dựng ranh giới, thường bằng danh sách trắng.
3. Dữ liệu có bao giờ trở thành cú pháp thay vì giá trị không? Nếu có, không API nào tham số hoá được nó — cần ánh xạ sang hằng số.

Việc phải làm. Bốn đoạn code, bốn interpreter, ít nhất một cái không có trong năm bài trước. Với mỗi đoạn: gọi tên interpreter, nói bản vá đúng, và nói vì sao bản vá của interpreter khác không dùng được ở đây. Câu thứ ba là câu tính điểm.