أمان تطبيقات Go: أهم 10 ثغرات أمنية

أمان تطبيقات Go: أهم 10 نقاط ضعف

Go (Golang) هي لغة مترجمة، ذات كتابة ثابتة، تم إنشاؤها في Google. بفضل دعمها المدمج للتوازي، والأداء العالي، ونموذج الذاكرة البسيط، أصبحت شائعة لبناء الخدمات المصغرة، وبوابات API، والتطبيقات السحابية، وأدوات DevOps. ومع ذلك، مثل أي لغة أخرى، فإن Go ليست محصنة ضد أخطاء الأمان. غالبًا ما يعتمد المطورون على "الأمان الافتراضي"، مما يؤدي إلى ظهور نقاط ضعف خطيرة. في هذه المقالة، سنستعرض أهم 10 مشكلات أمان حرجة في تطبيقات Go ونوضح كيفية تجنبها.

1. حقن SQL (SQL Injection)

على الرغم من أن Go توفر برامج تشغيل قواعد بيانات قوية (database/sql)، إلا أن المطورين غالبًا ما يقعون في الخطأ الكلاسيكي المتمثل في دمج السلاسل النصية عند تكوين الاستعلامات.

الكود الضعيف:

package main

import (    "database/sql"    "fmt"    _ "github.com/lib/pq")

func getUser(db *sql.DB, username string) {    // لا تفعل هذا أبدًا!    query := fmt.Sprintf("SELECT * FROM users WHERE username = '%s'", username)    rows, _ := db.Query(query)    // ...}

الحل: استخدم الاستعلامات ذات المعاملات (prepared statements).

func getUserSafe(db *sql.DB, username string) {    query := "SELECT * FROM users WHERE username = $1"    rows, err := db.Query(query, username)    if err != nil {        // معالجة الخطأ    }    // ...}

المعاملات تقوم تلقائيًا بإفلات الأحرف الخاصة، مما يجعل الحقن مستحيلاً.

2. البرمجة النصية عبر المواقع (XSS)

غالبًا ما تُستخدم Go في الجانب الخادمي لتطبيقات الويب. إذا قمت بإرجاع إدخال المستخدم دون إفلات، فإنك تفتح الطريق لهجمات XSS.

الكود الضعيف (استخدام fmt.Fprintf):

http.HandleFunc("/", func(w http.ResponseWriter, r *http.Request) {    name := r.URL.Query().Get("name")    fmt.Fprintf(w, "<h1>مرحبًا، %s!</h1>", name) // XSS!})

الحل: استخدم حزمة html/template للإفلات التلقائي.

import "html/template"

http.HandleFunc("/", func(w http.ResponseWriter, r *http.Request) {    tmpl := template.Must(template.New("index").Parse("<h1>مرحبًا، {{.}}!</h1>"))    name := r.URL.Query().Get("name")    tmpl.Execute(w, name) // آمن})

محرك القوالب html/template يقوم تلقائيًا بإفلات سياقات HTML وJavaScript وCSS.

3. حالات السباق (Race Conditions)

تشتهر Go بتوازنها خفيف الوزن (الـ goroutines والقنوات). ومع ذلك، فإن الاستخدام غير الصحيح للموارد المشتركة (مثل الخرائط أو العدادات) دون مزامنة يؤدي إلى data races.

الكود الضعيف:

var counter int

func increment() {    for i := 0; i < 1000; i++ {        counter++ // ليس ذريًا!    }}

func main() {    go increment()    go increment()}

الحل: استخدم الأقفال المتبادلة (sync.Mutex) أو العمليات الذرية (sync/atomic).

import "sync"

var (    counter int    mu      sync.Mutex)

func increment() {    for i := 0; i < 1000; i++ {        mu.Lock()        counter++        mu.Unlock()    }}

قم دائمًا بتشغيل الاختبارات مع العلم -race: go test -race.

4. تسرب الذاكرة والـ Goroutines (Memory & Goroutine Leaks)

واحدة من أكثر نقاط الضعف غدرًا في Go هي الـ goroutines "المنسية". إذا تم حظر goroutine إلى الأبد (على سبيل المثال، في انتظار بيانات من قناة لن تُغلق أبدًا)، فإن ذلك يؤدي إلى تسرب الذاكرة وفشل التطبيق.

مثال على التسرب: