Rust बनाम SQL-इंजेक्शन और XSS: वेब सुरक्षित रूप से लिखना

Rust वेब में सुरक्षा का नया मानक क्यों है?

जब वेब सुरक्षा की बात आती है, तो कई डेवलपर्स तुरंत ORM, तैयार क्वेरी और HTML एस्केपिंग के बारे में सोचते हैं। लेकिन क्या होगा अगर मैं आपसे कहूं कि प्रोग्रामिंग भाषा स्वयं इस काम का बड़ा हिस्सा ले सकती है? यही वह चीज़ है जो Rust करता है — एक ऐसी भाषा जो गलतियों को माफ नहीं करती, लेकिन उन्हें करने भी नहीं देती।

इस लेख में, हम देखेंगे कि कैसे Rust सुरक्षा वेब अनुप्रयोगों पर दो सबसे महत्वपूर्ण हमलों में प्रकट होती है: SQL-इंजेक्शन और XSS (क्रॉस-साइट स्क्रिप्टिंग)। आप वास्तविक कोड उदाहरण देखेंगे, Python से तुलना करेंगे और समझेंगे कि Rust उन परियोजनाओं के लिए पहली पसंद क्यों बन रहा है जहाँ गलती की कीमत उपयोगकर्ताओं की सुरक्षा है।

Rust SQL-इंजेक्शन को कैसे रोकता है: सिद्धांत से व्यवहार तक

SQL-इंजेक्शन एक क्लासिक है। हम सभी जानते हैं कि तैयार क्वेरी का उपयोग करना चाहिए। लेकिन Rust में, यह पैटर्न भाषा की संस्कृति में टाइप सिस्टम और borrow checker के स्तर पर अंतर्निहित है।

दृष्टिकोणों की तुलना: Python बनाम Rust

Python पर एक सामान्य कोड देखें जो असुरक्षित हो सकता है:

# Python (खतरनाक)\nuser_input = "'; DROP TABLE users; --"\nquery = f"SELECT * FROM users WHERE name = '{user_input}'"\ncursor.execute(query)\n

भले ही आप psycopg2 का उपयोग करें, आप गलती से एस्केपिंग भूल सकते हैं। Rust आपको अलग तरह से सोचने पर मजबूर करता है।

Rust में sqlx या diesel लाइब्रेरी के साथ, आप क्वेरी में सीधे स्ट्रिंग नहीं डाल सकते — टाइप सिस्टम अनुमति नहीं देगा:

// Rust sqlx के साथ (सुरक्षित)\nuse sqlx::PgPool;\n\nlet user_input = "'; DROP TABLE users; --";\nlet user: Option<User> = sqlx::query_as(\n    "SELECT * FROM users WHERE name = $1"\n)\n.bind(&user_input) // टाइप-सुरक्षित बाइंडिंग\n.fetch_optional(&pool)\n.await?;\n

$1 और .bind() पर ध्यान दें। Rust आपको क्वेरी स्ट्रिंग में सीधे मान डालने की अनुमति नहीं देता। यह सिर्फ एक समझौता नहीं है — यह संकलन की एक अनिवार्य शर्त है। Rust सुरक्षा यहाँ इस रूप में प्रकट होती है कि यदि आप सही लाइब्रेरी का उपयोग करते हैं तो आप शारीरिक रूप से SQL-इंजेक्शन नहीं बना सकते।

यह टाइप स्तर पर क्यों काम करता है?

Rust में, क्वेरी स्ट्रिंग और डेटा अलग-अलग प्रकार हैं। sqlx जैसी लाइब्रेरी संकलन चरण (compile-time checked queries) पर क्वेरी की जाँच करती हैं। यदि आप कुछ खतरनाक करने का प्रयास करते हैं, तो कोड संकलित नहीं होगा:

// यह संकलित नहीं होगा!\nlet query = format!("SELECT * FROM users WHERE name = '{}'", user_input);\nsqlx::query(&query); // त्रुटि: &str की अपेक्षा, प्रतिस्थापन के साथ String नहीं\n

स्वामित्व (ownership) और उधार (borrowing) प्रणाली आपको गलती से खतरनाक डेटा को "निगलने" नहीं देती। यह जादू नहीं है — यह भाषा में बसा इंजीनियरिंग अनुशासन है।

XSS से सुरक्षा: एस्केपिंग और स्वचालित जाँच

XSS तब होता है जब कोई हमलावर आपके HTML में स्क्रिप्ट डालता है। Rust में, आप कई स्तरों पर सुरक्षा कर सकते हैं, और कुछ जाँच प्रोग्राम चलने से पहले ही हो जाती हैं।

स्वचालित एस्केपिंग वाले टेम्पलेट इंजन

Python में, आप autoescape=true के साथ jinja2 का उपयोग करते हैं। Rust में askama या maud है, जो समान काम करते हैं, लेकिन टाइप सुरक्षा के साथ। यहाँ askama का एक उदाहरण है:

// Rust askama के साथ (टेम्पलेट इंजन)\nuse askama::Template;\n\n#[derive(Template)]\n#[template(source = "<h1>Hello, {{ name }}!</h1>", ext = "html")]\nstruct HelloTemplate {\n    name: String,\n}\n\nfn main() {\n    let t = HelloTemplate {\n        name: "<script>alert('XSS')</script>".to_string(),\n    };\n    let rendered = t.render().unwrap();\n    // आउटपुट: <h1>Hello, &lt;script&gt;...</h1>\n    // टैग स्वचालित रूप से एस्केप हो गए!\n}\n

ध्यान दें कि