Response của API bên ngoài là input không tin được

Mọi developer đều validate input từ người dùng. Rất ít người validate response từ một API bên ngoài — và API10 tồn tại vì lý do đó.

Lý do bỏ qua nghe hợp lý: "đó là API của đối tác, chúng ta có hợp đồng". Nhưng hợp đồng không phải một biện pháp kỹ thuật, và có bốn cách response đó trở nên độc hại mà không cần đối tác của bạn có ý xấu:

Hàng thứ ba là hàng đáng chú ý nhất vì nó nối module này lại với nhau: nếu bạn có SSRF thì mọi giả định về "response từ đối tác" trở thành giả định về "response từ kẻ tấn công". Hai lỗ hổng nhân nhau chứ không cộng nhau.

Năm giả định thường được đặt và thường sai:

Hàng thứ ba đáng nói riêng vì nó không phải một lỗi dữ liệu mà là một tấn công cạn tài nguyên: một server gửi một byte mỗi 20 giây giữ được một luồng của bạn vô thời hạn, và HttpClient.Timeout mặc định là 100 giây cho toàn bộ request — nhưng nó không giới hạn thời gian đọc body nếu bạn stream nó.