Go अनुप्रयोगों की सुरक्षा: शुरुआती लोगों के लिए शीर्ष 10 कमजोरियाँ

Go अनुप्रयोगों की सुरक्षा: शुरुआती लोगों के लिए शीर्ष 10 कमजोरियाँ

Go (Golang) उच्च-लोड वेब सेवाओं, माइक्रोसर्विसेज और नेटवर्क अनुप्रयोगों के निर्माण के लिए सबसे लोकप्रिय भाषाओं में से एक है। हालाँकि, किसी भी अन्य भाषा की तरह, Go को सुरक्षा के प्रति सावधानीपूर्वक दृष्टिकोण की आवश्यकता होती है। यदि आप अभी Go सीखना शुरू कर रहे हैं, तो उन बुनियादी कमजोरियों को जानना महत्वपूर्ण है जो आपके अनुप्रयोग को खतरे में डाल सकती हैं। इस लेख में, हम 10 सबसे सामान्य खतरों पर चर्चा करेंगे और दिखाएंगे कि उनसे कैसे बचा जाए।

1. SQL इंजेक्शन (SQL Injection)

SQL इंजेक्शन सबसे पुरानी और सबसे खतरनाक कमजोरियों में से एक है। यह तब होता है जब उपयोगकर्ता इनपुट सीधे SQL क्वेरी में डाला जाता है।

कमजोर कोड का उदाहरण:

func getUser(db *sql.DB, id string) (*User, error) {\n    row := db.QueryRow("SELECT * FROM users WHERE id = " + id)\n    // ...\n}

कैसे ठीक करें:

पैरामीटरीकृत क्वेरी का उपयोग करें:

func getUser(db *sql.DB, id string) (*User, error) {\n    row := db.QueryRow("SELECT * FROM users WHERE id = $1", id)\n    // ...\n}

2. क्रॉस-साइट स्क्रिप्टिंग (XSS)

XSS तब होता है जब अनएस्केप्ड उपयोगकर्ता इनपुट वेब पेज पर प्रदर्शित होता है। Go में, यह अक्सर text/template के बजाय html/template का उपयोग करने पर होता है।

कमजोर कोड का उदाहरण:

fmt.Fprintf(w, "<p>नमस्ते, %s</p>", r.URL.Query().Get("name"))

कैसे ठीक करें:

स्वचालित एस्केपिंग के लिए html/template का उपयोग करें:

tmpl := template.Must(template.New("").Parse("<p>नमस्ते, {{.}}</p>"))\ntmpl.Execute(w, r.URL.Query().Get("name"))

3. क्रॉस-साइट रिक्वेस्ट फोर्जरी (CSRF)

CSRF हमले उपयोगकर्ता को उस साइट पर एक अवांछित कार्रवाई करने के लिए मजबूर करते हैं जहाँ वे प्रमाणित हैं। Go अनुप्रयोग अक्सर CSRF से सुरक्षा के बारे में भूल जाते हैं।

समाधान:

gorilla/csrf लाइब्रेरी का उपयोग करें या अपना स्वयं का middleware लागू करें:

import "github.com/gorilla/csrf"\n\nfunc main() {\n    r := mux.NewRouter()\n    r.Use(csrf.Protect([]byte("32-बाइट-कुंजी")))\n    // ...\n}

4. असुरक्षित त्रुटि प्रबंधन

एक सामान्य गलती उपयोगकर्ता को सिस्टम त्रुटि संदेश लौटाना है, जो अनुप्रयोग की आंतरिक संरचना को उजागर कर सकते हैं।

कमजोर कोड का उदाहरण:

if err != nil {\n    http.Error(w, err.Error(), http.StatusInternalServerError)\n}

कैसे ठीक करें:

if err != nil {\n    log.Printf("त्रुटि: %v", err)\n    http.Error(w, "आंतरिक सर्वर त्रुटि", http.StatusInternalServerError)\n}

5. हेडर के माध्यम से सूचना लीक

डिफ़ॉल्ट रूप से, Go सर्वर Go संस्करण, सर्वर प्रकार और अन्य सेवा जानकारी प्रकट कर सकता है।

समाधान:

type secureHandler struct {\n    next http.Handler\n}\n\nfunc (h *secureHandler) ServeHTTP(w http.ResponseWriter, r *http.Request) {\n    w.Header().Set("X-Content-Type-Options", "nosniff")\n    w.Header().Set("X-Frame-Options", "DENY")\n    w.Header().Set("X-XSS-Protection", "1; mode=block")\n    h.next.ServeHTTP(w, r)\n}

6. गोरूटीन के साथ गलत काम

गोरूटीन Go का एक शक्तिशाली उपकरण है, लेकिन उनका गलत उपयोग डेटा रेस (race conditions) और मेमोरी लीक का कारण बन सकता है।

कमजोर कोड का उदाहरण:

var counter int\nfor i := 0; i < 1000; i++ {\n    go func() {\n        counter++ // race condition!\n    }()\n}

कैसे ठीक करें:

var mu sync.Mutex\nvar counter int\nfor i := 0; i < 1000; i++ {\n    go func() {\n        mu.Lock()\n        counter++\n        mu.Unlock()\n    }()\n}

7. पासवर्ड का असुरक्षित भंडारण

पासवर्ड को सादे टेक्स्ट में या कमजोर हैश (MD5, SHA1) का उपयोग करके संग्रहीत करना एक गंभीर गलती है।<