如何修正 SAST（靜態檢測工具） 報告中的 cross-site scripting (XSS)？
靜態程式碼掃描工具，例如 Fortify SCA 和 CxSAST，被許多企業和組織用來檢測應用程式中的安全弱點。但對許多開發者來說，Fortify SCA 和 CxSAST 的報告被視為麻煩製造者，因為它們雖然指出了弱點（不論是真的或是誤報），但卻沒有提供任何修正這些弱點的方法。誰來修正報告中的弱點？
Cross-site scripting（XSS）是一種網頁安全弱點，允許攻擊者將惡意代碼注入網頁或應用程式。XSS 可能會損害用戶的隱私和安全，以及網站或應用程式的完整性和功能。
跨網站指令碼有三種類型：反射式 XSS、儲存式 XSS 和 DOM-based XSS。當應用程式立即以網頁回應的方式傳回使用者輸入，其中包含使用者提供的部分或全部輸入，而未將資料安全地呈現在瀏覽器中時，就會發生反射式 XSS。當使用者輸入的資料儲存在資料庫等持久性媒體中，而應用程式在網頁回應中使用這些資料時，並未將其安全地呈現在瀏覽器中，則會發生儲存式 XSS。DOM-based XSS 只存在於瀏覽器中 - 頁面本身不會改變，但頁面中的用戶端程式碼會因瀏覽器的 DOM 環境中發生的惡意修改而以不同的方式執行。
要修正 cross-site scripting，可以參考以下的方法：
- 使用程式語言的函式庫清理輸入和輸出，例如刪除或編碼任何可能被瀏覽器解釋為代碼的字元。
- 在適用的情況下強制使用更安全的函數（例如，在 JavaScript 中使用
innerText而不是innerHTML）。更安全的函數可防止瀏覽器執行嵌入在輸入或輸出中的任何代碼。 - 驗證輸入以確保它們符合特定條件。例如檢查輸入是否與某種格式、長度、範圍等匹配。驗證可以通過拒絕任何不符合預期條件的輸入來説明防止 XSS 攻擊。
以下是幾個修正 cross-site scripting 的範例：
sda = new SqlDataAdapter("SELECT * FROM Employees", conn);
sda.Fill(dt);
if (dt.Rows.Count > 0)
{
string name = dt.Rows[0]["Name"];
lblEmployeeName.Text = Encoder.HtmlEncode(name);
}
Statement stmt = conn.createStatement();
ResultSet rs = stmt.executeQuery("SELECT * FROM Employees");
if (rs != null)
{
rs.next();
String employeeName = Encoder.htmlEncode(rs.getString("name"));
}
let name = Cookies.get("name");
let message = 'Hi ' + Sanitizer.sanitize(name) + ', welcome!';
main.innerHTML = html;
若有辦法能自動修正 cross-site scripting (XSS) 該有多好？
Lucent Sky AVM 和 SAST（靜態檢測工具） 一樣能精確地找出弱點在程式碼中的位置。但和靜態檢測工具不同，Lucent Sky AVM 也實際修正找到的弱點。 它能產生 「Instant Fixes」－一段安全的程式碼片段，能夠直接插入程式碼中來修正 cross-site scripting （XSS）、SQL injection、path manipulation 等常見的弱點。
開發者可以檢視 Instant Fix 並逐一或整批套用它們，也可以將 Lucent Sky AVM 與 CI pipeline 整合，當有新的程式碼時，弱點都能自動地被檢查、修正、測試。
一起使用 SAST（靜態檢測工具） 和 Lucent Sky AVM
Fortify SCA 和 CxSAST 等靜態檢測工具只會告訴你弱點在哪裡，而 Lucent Sky AVM 會指出它們的位置以及修正方式（並且實際為你修正他們，你喜歡的話）。 大部分的靜態檢測工具是被設計來供資訊安全專業人士使用，因此設計理念是找出大量的結果，再依賴資訊安全專家來移除其中的誤報。Lucent Sky AVM 則是專注於找出會真正影響應用程式安全的弱點，並依照你或你的開發與資訊安全團隊的設定來可靠的修正這些弱點。 你可以深入了解 Lucent Sky AVM 的修正流程。
Lucent Sky AVM + SAST（靜態檢測工具） = 輕鬆的法規遵循
如果你的組織的法規遵循要求要修正 Fortify SCA 和 CxSAST 找到的所有結果（或是符合特定條件的結果，例如嚴重和高風險），Lucent Sky AVM 可以被調整來找出一樣的結果，並提供更多的功能 - 自動的修正這些弱點。
有效果的報告
許多靜態程式碼掃描工具是由資訊安全專家所設計來給其他的資訊安全專家使用。因此，它們需要由專業人士操作，而且產出的報告和結果難以實際幫助開發者。Lucent Sky AVM 提供為開發者與資訊安全專家所設計的報告，提供分析結果以及 Instant Fixes （能夠直接修正如 cross-site scripting 和 SQL injection 等常見弱點的程式碼片段），讓不是資訊安全專家的使用者能夠用來強化程式碼的安全。
對於需要法規遵循報告的企業來說，Lucent Sky AVM 能協助開發與資訊安全團隊通過 SAST（靜態檢測工具） 的檢測並減少誤報帶來的困擾，同時大幅地降低強化應用程式安全所需要的時間和精力。要進一步了解 Lucent Sky AVM 和靜態程式碼掃描工具報告的差別，請下載報告比較表。
