JSONThreatProtection politikası

Apigee Edge belgelerini görüntülüyorsunuz.
Apigee X belgelerine gidin. bilgi

Ne?

Diziler ve dizeler gibi çeşitli JSON yapılarına sınır belirlemenize olanak tanıyarak içerik düzeyindeki saldırılardan kaynaklanan riski en aza indirir.

Video: JSONThreatProtection politikasının, API'leri içerik düzeyindeki saldırılara karşı nasıl güvenceye almanızı sağladığı hakkında daha fazla bilgi edinmek için kısa bir video izleyin.

Video: Apigee bulutlar arası API platformu hakkında bu kısa videoyu izleyin.

Öğe referansı

Öğe referansı, JSONThreatProtection politikasının öğelerini ve özelliklerini açıklar.

<JSONThreatProtection async="false" continueOnError="false" enabled="true" name="JSON-Threat-Protection-1">
   <DisplayName>JSONThreatProtection 1</DisplayName>
   <ArrayElementCount>20</ArrayElementCount>
   <ContainerDepth>10</ContainerDepth>
   <ObjectEntryCount>15</ObjectEntryCount>
   <ObjectEntryNameLength>50</ObjectEntryNameLength>
   <Source>request</Source>
   <StringValueLength>500</StringValueLength>
</JSONThreatProtection>

<JSONThreatProtection> özellikleri

<JSONThreatProtection async="false" continueOnError="false" enabled="true" name="JSON-Threat-Protection-1">

Aşağıdaki tabloda tüm politika üst öğelerinde ortak olan özellikler açıklanmaktadır:

Özellik Açıklama Varsayılan Varlık
name

Politikanın dahili adı. name özelliğinin değeri Harf, sayı, boşluk, kısa çizgi, alt çizgi ve nokta içermelidir. Bu değer, 255 karakteri aşmalıdır.

İsteğe bağlı olarak, politikayı<DisplayName> yönetim arayüzü proxy düzenleyicisinde farklı bir doğal dil adı kullanabilir.

 Yok Zorunlu
continueOnError

Bir politika başarısız olduğunda hata döndürmesi için false olarak ayarlayın. Bu beklenen bir durumdur çoğu politika için geçerli olur.

Akış yürütmenin bir politikadan sonra bile devam etmesi için true olarak ayarlayın başarısız olur.

 false İsteğe bağlı
enabled

Politikayı uygulamak için true olarak ayarlayın.

Politikayı devre dışı bırakmak için false değerine ayarlayın. Bu politika, bir akışa bağlı kalsa bile uygulanır.

 true İsteğe bağlı
async

Bu özelliğin desteği sonlandırıldı.

 false Kullanımdan kaldırıldı

&lt;DisplayName&gt; öğe

Politikayı name özelliğine ek olarak farklı bir doğal dil adına sahip yönetim arayüzü proxy düzenleyicisi.

<DisplayName>Policy Display Name</DisplayName>
Varsayılan

Yok

Bu öğeyi çıkarırsanız politikanın name özelliğinin değeri: kullanılır.
Varlık İsteğe bağlı
Tür Dize

<ArrayElementCount> öğesi

Bir dizide izin verilen maksimum öğe sayısını belirtir.

<ArrayElementCount>20</ArrayElementCount>
Varsayılan: Bu öğeyi belirtmezseniz veya negatif bir tamsayı belirtirseniz sistem sınır uygulamaz.
Mevcut olma: İsteğe bağlı
Tür: Tamsayı

<ContainerDepth> öğesi

Kapsayıcıların nesneler veya diziler olduğu, izin verilen maksimum kapsama derinliğini belirtir. Örneğin, bir nesne içeren bir nesne içeren bir dizi, 3 kapsama derinliğiyle sonuçlanır.

<ContainerDepth>10</ContainerDepth>
Varsayılan: Bu öğeyi belirtmezseniz veya negatif bir tamsayı belirtirseniz sistem herhangi bir sınır uygulamaz.
Mevcut olma: İsteğe bağlı
Tür: Tamsayı

<ObjectEntryCount> öğesi

Bir nesnede izin verilen maksimum giriş sayısını belirtir.

<ObjectEntryCount>15</ObjectEntryCount>
Varsayılan: Bu öğeyi belirtmezseniz veya negatif bir tamsayı belirtirseniz sistem herhangi bir sınır uygulamaz.
Mevcut olma: İsteğe bağlı
Tür: Tamsayı

<ObjectEntryNameLength> öğesi

Bir nesnedeki özellik adı için izin verilen maksimum dize uzunluğunu belirtir.

<ObjectEntryNameLength>50</ObjectEntryNameLength>
Varsayılan: Bu öğeyi belirtmezseniz veya negatif bir tamsayı belirtirseniz sistem sınır uygulamaz.
Mevcut olma: İsteğe bağlı
Tür: Tamsayı

<Source> öğesi

JSON yükü saldırılarına karşı taranacak mesaj. Bu genellikle request olarak ayarlanır. Bunun nedeni, istemci uygulamalarından gelen istekleri genellikle doğrulamanız gerekmesidir. message olarak ayarlandığında bu öğe, istek akışına eklendiğinde istek iletisini, yanıt akışına eklendiğinde ise yanıt iletisini otomatik olarak değerlendirir.

<Source>request</Source>
Varsayılan: istek
Mevcut olma: İsteğe bağlı
Tür:

Dize.

Geçerli değerler: request, response veya message.

<StringValueLength> öğesi

Bir dize değeri için izin verilen maksimum uzunluğu belirtir.

<StringValueLength>500</StringValueLength>
Varsayılan: Bu öğeyi belirtmezseniz veya negatif bir tamsayı belirtirseniz sistem sınır uygulamaz.
Mevcut olma: İsteğe bağlı
Tür: Tamsayı

Hata referansı

This section describes the fault codes and error messages that are returned and fault variables that are set by Edge when this policy triggers an error. This information is important to know if you are developing fault rules to handle faults. To learn more, see What you need to know about policy errors and Handling faults.

Runtime errors

These errors can occur when the policy executes.

Fault code HTTP status Cause Fix
steps.jsonthreatprotection.ExecutionFailed 500 The JSONThreatProtection policy can throw many different types of ExecutionFailed errors. Most of these errors occur when a specific threshold set in the policy is exceeded. These types of errors include: object entry name length, object entry count, array element count, container depth, string string value length. This error also occurs when the payload contains an invalid JSON object.
steps.jsonthreatprotection.SourceUnavailable 500 This error occurs if the message variable specified in the <Source> element is either:
  • Out of scope (not available in the specific flow where the policy is being executed)
  • Is not one of the valid values request, response, or message
steps.jsonthreatprotection.NonMessageVariable 500 This error occurs if the <Source> element is set to a variable which is not of type message.

Deployment errors

None.

Fault variables

These variables are set when this policy triggers an error. For more information, see What you need to know about policy errors.

Variables Where Example
fault.name="fault_name" fault_name is the name of the fault, as listed in the Runtime errors table above. The fault name is the last part of the fault code. fault.name Matches "SourceUnavailable"
jsonattack.policy_name.failed policy_name is the user-specified name of the policy that threw the fault. jsonattack.JTP-SecureRequest.failed = true

Example error response

{
  "fault": {
    "faultstring": "JSONThreatProtection[JPT-SecureRequest]: Execution failed. reason: JSONThreatProtection[JTP-SecureRequest]: Exceeded object entry name length at line 2",
    "detail": {
      "errorcode": "steps.jsonthreatprotection.ExecutionFailed"
    }
  }
}

Example fault rule

<FaultRule name="JSONThreatProtection Policy Faults">
    <Step>
        <Name>AM-CustomErrorResponse</Name>
        <Condition>(fault.name Matches "ExecutionFailed") </Condition>
    </Step>
    <Condition>(jsonattack.JPT-SecureRequest.failed = true) </Condition>
</FaultRule>

Şemalar

Kullanım notları

XML tabanlı hizmetler gibi, JavaScript nesne gösterimini (JSON) destekleyen API'ler de içerik düzeyindeki saldırılara karşı savunmasızdır. Basit JSON saldırıları, bir hizmetin kilitlenmesi ve uygulama düzeyinde hizmet reddi saldırılarına neden olmak için JSON ayrıştırıcıları aşırı yükleyen yapıları kullanmaya çalışır. Tüm ayarlar isteğe bağlıdır ve hizmet gereksinimlerinizi olası güvenlik açıklarıyla karşılaştırarak optimize etmek için ayarlanmalıdır.

İlgili konular

JSONtoXML politikası

XMLThreatProtection politikası

RegularExpressionProtection politikası