MeanJS স্ট্যাক (MongoDB, Express.js, AngularJS, এবং Node.js) ব্যবহার করার সময়, অ্যাপ্লিকেশনকে SQL Injection এবং Cross-site Scripting (XSS) আক্রমণ থেকে সুরক্ষিত রাখা অত্যন্ত গুরুত্বপূর্ণ। এই আক্রমণগুলো যদি সফলভাবে চালানো হয়, তাহলে এটি আপনার অ্যাপ্লিকেশনের ডেটা এবং নিরাপত্তার জন্য বিপজ্জনক হতে পারে। চলুন, আমরা এই দুটি সাধারণ আক্রমণ এবং তা থেকে সুরক্ষিত থাকার কৌশলগুলো বিস্তারিতভাবে আলোচনা করি।
1. SQL Injection: এর সংজ্ঞা এবং সুরক্ষা ব্যবস্থা
SQL Injection (SQLi) একটি আক্রমণমূলক কৌশল যেখানে আক্রমণকারী SQL কুয়েরি-এ ম্যালিশিয়াস কোড ইনজেক্ট করে, যার মাধ্যমে ডেটাবেসের ডেটা চুরি, পরিবর্তন বা মুছে ফেলা সম্ভব হয়।
যেহেতু MeanJS স্ট্যাক MongoDB ব্যবহার করে (যা NoSQL ডেটাবেস), তাই SQL Injection এর জন্য ঐতিহ্যগত SQL কুয়েরি ইনজেকশনের মতো কোন ঝুঁকি নেই। তবে, MongoDB এর query language এবং Mongoose এর queries যদি সঠিকভাবে স্যানিটাইজ না করা হয়, তবুও নিরাপত্তা ঝুঁকি তৈরি হতে পারে।
MongoDB এবং Mongoose এর মধ্যে নিরাপত্তা নিশ্চিত করা:
MongoDB এবং Mongoose-এ ইনজেকশন আক্রমণ প্রতিরোধ করতে, নিচের পদক্ষেপগুলো অনুসরণ করা উচিত:
1. Query Sanitization (কুয়েরি স্যানিটাইজেশন):
Mongoose-এ ডেটা ইনপুট প্রক্রিয়ার সময় কিছু প্রাথমিক নিরাপত্তা ব্যবস্থা নেওয়া গুরুত্বপূর্ণ। Mongoose ব্যবহার করলে এটি প্রাক-ডিফাইনড স্কিমা এবং ডেটা টাইপ যাচাইয়ের মাধ্যমে ইনজেকশন থেকে সুরক্ষা প্রদান করে।
// user.model.js
var mongoose = require('mongoose');
var Schema = mongoose.Schema;
// ইউজারের স্কিমা তৈরি
var userSchema = new Schema({
username: {
type: String,
required: 'Username is required',
unique: true
},
email: {
type: String,
required: 'Email is required',
match: [/\S+@\S+\.\S+/, 'Please enter a valid email address']
},
password: {
type: String,
required: 'Password is required'
}
});
// মডেল তৈরি করা
var User = mongoose.model('User', userSchema);
module.exports = User;
এখানে, স্কিমা ভ্যালিডেশন ব্যবহার করা হয়েছে, যা ডেটাবেস ইনজেকশন আক্রমণের ঝুঁকি কমাতে সাহায্য করে।
2. Avoid Direct User Input in Queries (কুয়েরিতে সরাসরি ইউজার ইনপুট ব্যবহার না করা):
কোনো ইউজার ইনপুট সরাসরি কুয়েরিতে ব্যবহার করবেন না। মঙ্গোডিবি ও মঙ্গুসে অটো-এস্কেপিং কার্যকরী হয়, তবে কিছু প্যারামিটার ব্যবহার করার সময় সাবধানতা অবলম্বন করা উচিত।
// Unsafe: Direct user input in query
User.find({ email: req.body.email });
// Safe: Mongoose query with parameters
User.findOne({ email: req.body.email }, function(err, user) {
// Handle the response securely
});
3. Use Parameterized Queries (প্যারামিটারাইজড কুয়েরি ব্যবহার):
MongoDB এবং Mongoose প্যারামিটারাইজড কুয়েরি সাপোর্ট করে, যেটি ইনজেকশন আক্রমণ প্রতিরোধে কার্যকর।
2. Cross-site Scripting (XSS): এর সংজ্ঞা এবং সুরক্ষা ব্যবস্থা
Cross-site Scripting (XSS) একটি ধরনের আক্রমণ যেখানে আক্রমণকারী ম্যালিশিয়াস স্ক্রিপ্ট (যেমন JavaScript) ওয়েব পৃষ্ঠায় ইনজেক্ট করে। এই স্ক্রিপ্ট ব্যবহারকারীর ব্রাউজারে রান হতে পারে, যার ফলে ইউজারের সেশন হাইজ্যাক, কুকি চুরি বা অন্যান্য ক্ষতিকর কার্যক্রম ঘটতে পারে।
1. AngularJS-এর মাধ্যমে XSS থেকে সুরক্ষা:
AngularJS এ XSS আক্রমণ থেকে সুরক্ষিত থাকতে কিছু বিল্ট-ইন ফিচার আছে, যেমন:
- Auto-escaping: AngularJS স্বয়ংক্রিয়ভাবে HTML, JavaScript, এবং অন্যান্য স্ক্রিপ্ট কোডকে এসকেপ করে রাখে, যাতে তা এক্সিকিউট হতে না পারে।
- Sanitization: AngularJS এর
ng-bindএবংng-modelডিরেকটিভ ব্যবহার করলে, এগুলি ইউজারের ইনপুট স্যানিটাইজ করে দেয়।
<!-- Safe: ng-bind দিয়ে ব্যবহার -->
<p ng-bind="userInput"></p>
এখানে, ng-bind ব্যবহার করার ফলে AngularJS স্বয়ংক্রিয়ভাবে ইউজারের ইনপুটকে স্যানিটাইজ করবে এবং HTML/JavaScript কোডের ইনজেকশন প্রতিরোধ করবে।
2. Sanitize User Inputs (ইউজার ইনপুট স্যানিটাইজ করা):
AngularJS এ ইনপুট স্যানিটাইজ করতে $sanitize সার্ভিস ব্যবহার করা যেতে পারে, যা ইউজারের ইনপুট থেকে ম্যালিশিয়াস HTML বা JavaScript কোড মুছে ফেলে।
// AngularJS Controller
angular.module('meanApp')
.controller('FormController', function($scope, $sanitize) {
$scope.sanitizeInput = function() {
$scope.safeInput = $sanitize($scope.userInput);
};
});
এখানে, ng-bind এবং $sanitize ব্যবহার করে ইউজারের ইনপুট নিরাপদ রাখা হচ্ছে।
3. Avoid Inline JavaScript (ইনলাইন জাভাস্ক্রিপ্ট ব্যবহার না করা):
ইনলাইন জাভাস্ক্রিপ্ট ব্যবহার করা XSS আক্রমণের জন্য দুর্বল হতে পারে, তাই স্ক্রিপ্ট ফাইলগুলোকে আলাদা করে সঠিকভাবে লোড করা উচিত।
<!-- Unsafe Inline Script -->
<script>alert("XSS Attack!");</script>
<!-- Safe: External Script File -->
<script src="safe-script.js"></script>
4. Use Content Security Policy (CSP):
CSP হল একটি সিকিউরিটি ফিচার যা XSS আক্রমণ রোধে সহায়তা করে। এটি ব্রাউজারকে নির্দেশ দেয় কোন স্ক্রিপ্ট এবং রিসোর্স সাইটে লোড হতে পারবে।
<meta http-equiv="Content-Security-Policy" content="default-src 'self'; script-src 'self'">
এখানে, শুধুমাত্র সাইটের নিজস্ব স্ক্রিপ্ট লোড হতে অনুমতি দেওয়া হচ্ছে, বাইরের স্ক্রিপ্ট নয়।
সারাংশ
MeanJS স্ট্যাক ব্যবহারের সময় SQL Injection এবং Cross-site Scripting (XSS) আক্রমণ থেকে সুরক্ষিত থাকা খুবই গুরুত্বপূর্ণ।
- SQL Injection থেকে সুরক্ষিত থাকার জন্য MongoDB এবং Mongoose তে সঠিকভাবে স্কিমা ব্যবহার করা, প্যারামিটারাইজড কুয়েরি ব্যবহার করা এবং ডেটা স্যানিটাইজেশন প্রয়োজন।
- XSS আক্রমণ প্রতিরোধ করতে, AngularJS এর ng-bind, ng-model, এবং $sanitize সার্ভিস ব্যবহার করা উচিত। এছাড়া, ইনলাইন স্ক্রিপ্ট এবং মালিশিয়াস কনটেন্ট লোড হওয়া রোধ করতে Content Security Policy (CSP) ব্যবহার করা যেতে পারে।
এই সুরক্ষা ব্যবস্থা প্রয়োগ করার মাধ্যমে আপনার MeanJS অ্যাপ্লিকেশনকে অধিক নিরাপদ এবং সুরক্ষিত করা সম্ভব।
Read more
