SQL Injection এবং XSS থেকে সুরক্ষা

SQL Injection এবং XSS কি?

SQL Injection এবং XSS (Cross-Site Scripting) হল ওয়েব অ্যাপ্লিকেশন সিকিউরিটির গুরুত্বপূর্ণ সমস্যা। এ দুটি আক্রমণ কৌশল খুবই বিপজ্জনক এবং ওয়েব সার্ভিস বা অ্যাপ্লিকেশনগুলোকে সুরক্ষিত রাখতে প্রতিরোধ ব্যবস্থা নেয়া প্রয়োজন।

SQL Injection:

SQL Injection হল একটি ধরনের আক্রমণ যেখানে আক্রমণকারী (attacker) ডেটাবেসে অনধিকার প্রবেশের জন্য খারাপ SQL কুয়েরি ইনপুট করে। এটি তখন কার্যকরী হয় যখন অ্যাপ্লিকেশন ব্যবহারকারী ইনপুট ডেটা সরাসরি SQL কুয়েরিতে ব্যবহার করে, এবং আক্রমণকারী সেই ইনপুটে ক্ষতিকর কোড প্রবেশ করাতে পারে।

XSS (Cross-Site Scripting):

XSS হল এমন একটি আক্রমণ যেখানে আক্রমণকারী একটি ওয়েব পেজে ক্ষতিকর স্ক্রিপ্ট ইনজেক্ট করে, যা তখন অন্যান্য ব্যবহারকারীদের ব্রাউজারে চালানো হয়। এটি ব্যবহারকারীর তথ্য চুরি, সেশন হাইজ্যাকিং, বা ডেটা ম্যানিপুলেশন করার জন্য ব্যবহৃত হতে পারে।

SQL Injection থেকে সুরক্ষা

SQL Injection থেকে ওয়েব অ্যাপ্লিকেশনকে সুরক্ষিত রাখার জন্য কিছু কার্যকরী উপায় রয়েছে। TypeORM (যা একটি ORM) ব্যবহার করলে কিছু সুরক্ষা সুবিধা পাওয়া যায়, কারণ এটি SQL কুয়েরি তৈরি করার সময় parameters ব্যবহারের মাধ্যমে SQL Injection আক্রমণ প্রতিরোধ করে।

১. প্রপার Parameterized Queries (Prepared Statements) ব্যবহার করা

SQL Injection আক্রমণ প্রতিরোধের একটি গুরুত্বপূর্ণ উপায় হল parameterized queries ব্যবহার করা। TypeORM এ, এটি স্বয়ংক্রিয়ভাবে parameterized কুয়েরি তৈরি করে। এটি নিশ্চিত করে যে ইনপুট ডেটা কেবলমাত্র একটি মান হিসাবে বিবেচিত হবে, এবং কোডের অংশ হিসেবে বিবেচিত হবে না।

উদাহরণ:

import { createConnection } from "typeorm";
import { User } from "./entity/User";

createConnection().then(async connection => {
  const userRepository = connection.getRepository(User);

  // Safe query with parameterized values
  const user = await userRepository.findOne({
    where: { username: "someUsername" }
  });
  console.log(user);
}).catch(error => console.log(error));

এখানে, findOne ফাংশনে parameterized query ব্যবহার করা হয়েছে, যা SQL Injection থেকে সুরক্ষা প্রদান করে।

২. ORM ব্যবহার করা

ORM (Object-Relational Mapping) ব্যবহার করলে SQL কুয়েরি গুলি স্বয়ংক্রিয়ভাবে সুরক্ষিত থাকে। TypeORM, Sequelize, এবং অন্যান্য ORM লাইব্রেরি SQL কুয়েরি তৈরি করতে ব্যবহারকারীর ইনপুটকে সঠিকভাবে স্যানিটাইজ করে, যা SQL Injection আক্রমণ প্রতিরোধে সাহায্য করে।

৩. ইনপুট স্যানিটাইজেশন এবং ভ্যালিডেশন

সবসময় ব্যবহারকারীর ইনপুট সঠিকভাবে যাচাই ও স্যানিটাইজ করা উচিত। TypeORM বা অন্যান্য ORM ব্যবহার করা হলেও, কখনও কখনও আপনাকে ইনপুট ডেটা পরীক্ষা করে দেখতে হবে, যেমন:

• ইনপুটে অপ্রত্যাশিত ক্যারেক্টার রয়েছে কিনা চেক করা।
• ইনপুট আকার সঠিক কিনা তা যাচাই করা।
• শুধুমাত্র অনুমোদিত কিপ্রকার ডেটার ইনপুট গ্রহণ করা।

XSS থেকে সুরক্ষা

XSS আক্রমণ থেকে ওয়েব অ্যাপ্লিকেশনকে সুরক্ষিত রাখতে কিছু গুরুত্বপূর্ণ পদক্ষেপ রয়েছে:

১. HTML এ Special Characters Escape করা

XSS আক্রমণ প্রতিরোধের জন্য সবচেয়ে প্রথম কাজ হল HTML বা JavaScript এ special characters যেমন <, >, ", ', এবং & কে escape করা, যাতে তারা HTML বা JavaScript হিসেবে কার্যকর না হয়।

উদাহরণ:

const unsafeString = "<script>alert('XSS Attack');</script>";
const safeString = unsafeString.replace(/</g, "<").replace(/>/g, ">");

এখানে, HTML-এর special characters < এবং > কে escape করা হয়েছে যাতে XSS আক্রমণ না হয়।

২. Content Security Policy (CSP) ব্যবহার করা

CSP একটি সিকিউরিটি ফিচার যা ব্রাউজারের মাধ্যমে স্ক্রিপ্ট বা স্টাইল লোডের উৎস নিয়ন্ত্রণ করতে সাহায্য করে। এটি XSS আক্রমণ প্রতিরোধে সহায়ক।

৩. Input Sanitization এবং Output Encoding

যেকোনো ব্যবহারকারীর ইনপুট গ্রহণের আগে, সেগুলি স্যানিটাইজ করুন এবং যখন সেগুলি আউটপুট (output) হিসেবে প্রদর্শন করবেন, তখন সেগুলির এনকোডিং করুন। এটি নিশ্চিত করবে যে কোনো স্ক্রিপ্ট বা কোড আউটপুট হিসেবে রান করতে পারবে না।

৪. Angular, React বা Vue.js এর মতো ফ্রেমওয়ার্ক ব্যবহার করা

এই ফ্রেমওয়ার্কগুলো স্বয়ংক্রিয়ভাবে ইনপুট স্যানিটাইজেশন এবং আউটপুট এনকোডিং করে, যার ফলে XSS আক্রমণ অনেকটাই প্রতিরোধ করা যায়। TypeORM বা অন্যান্য লাইব্রেরি ব্যবহারের সময়, আপনি এই ফ্রেমওয়ার্কগুলোর সঙ্গে সহযোগিতা করে XSS আক্রমণ থেকে সুরক্ষা পেতে পারেন।

সারাংশ

SQL Injection এবং XSS আক্রমণ ওয়েব অ্যাপ্লিকেশন সিকিউরিটির জন্য দুটি বড় সমস্যা। তবে সঠিক parameterized queries, ORM ব্যবহার, input validation, এবং output encoding এর মাধ্যমে এই আক্রমণগুলো থেকে সুরক্ষা পাওয়া যায়। TypeORM ব্যবহার করার মাধ্যমে আপনি SQL Injection থেকে সুরক্ষা নিশ্চিত করতে পারেন, কারণ এটি স্বয়ংক্রিয়ভাবে parameterized queries তৈরি করে। অন্যদিকে, XSS থেকে সুরক্ষা পাওয়ার জন্য ইনপুট স্যানিটাইজেশন, CSP, এবং বিশেষভাবে স্ক্রিপ্ট ইঞ্জেকশন প্রতিরোধের জন্য অন্যান্য নিরাপত্তা পদক্ষেপ গ্রহণ করা জরুরি।