นโยบาย RegularExpressionProtection

คุณกำลังดูเอกสารประกอบ Apigee Edge
ไปที่ เอกสารประกอบเกี่ยวกับ Apigee X. ข้อมูล

อะไร

ดึงข้อมูลจากข้อความ (เช่น เส้นทาง URI, พารามิเตอร์การค้นหา, ส่วนหัว, พารามิเตอร์แบบฟอร์ม, ตัวแปร, เพย์โหลด XML หรือเพย์โหลด JSON) และประเมินเนื้อหานั้นเทียบกับปกติที่กำหนดไว้ล่วงหน้า นิพจน์ ถ้านิพจน์ทั่วไปที่ระบุมีค่าเป็น "จริง" ข้อความจะถือว่าเป็น และถูกปฏิเสธ

วิดีโอ

ดูข้อมูลเพิ่มเติมเกี่ยวกับนโยบายการป้องกันนิพจน์ทั่วไปในวิดีโอต่อไปนี้

ตัวอย่าง

<RegularExpressionProtection name="JsonPathRegExProtection">
    <DisplayName>Regular Expression Protection 1</DisplayName>
    <Source>request</Source>
    <JSONPayload escapeSlashCharacter="true">
       <JSONPath>
          <Expression>$</Expression>
          <Pattern>&lt;\s*script\b[^&gt;]*&gt;[^&lt;]+&lt;\s*\/\s*script\s*&gt;
          </Pattern>
          <Pattern>n\s*\\\\\s*slash</Pattern>
          <Pattern>n\s*\/\s*slash</Pattern>
          <Pattern>n\s*\\"\s*quotes</Pattern>
          <Pattern>n\s*\\b\s*space</Pattern>
          <Pattern>n\s*\\f\s*forwardfeed</Pattern>
          <Pattern>n\s*\\n\s*newline</Pattern>
          <Pattern>n\s*\\r\s*carria</Pattern>
          <Pattern>n\s*\\t\s*tab</Pattern>
          <Pattern>n\s*\\uFFFF\s*hex</Pattern>
       </JSONPath>
    </JSONPayload>
 </RegularExpressionProtection>

<Pattern>[\s]*(?i)((delete)|(exec)|(drop\s*table)|(insert)|(shutdown)|(update)|(\bor\b))</Pattern>

เกี่ยวกับนโยบายการป้องกันนิพจน์ทั่วไป

Apigee Edge ช่วยให้คุณสามารถกำหนดค่านิพจน์ทั่วไปที่สามารถ ประเมินจากการรับส่งข้อมูล API ระหว่างรันไทม์เพื่อระบุภัยคุกคามระดับเนื้อหาที่พบบ่อยที่ตามมา รูปแบบบางอย่าง

นิพจน์ทั่วไป หรือ regex คือชุดของสตริง ที่ระบุรูปแบบในสตริง นิพจน์ทั่วไปช่วยให้เนื้อหาสามารถเขียนโปรแกรมได้ ประเมินรูปแบบ คุณใช้นิพจน์ทั่วไปได้ เช่น เพื่อประเมินอีเมล เพื่อให้แน่ใจว่าโครงสร้างเป็นไปอย่างเหมาะสม ดูข้อมูลเพิ่มเติมได้ที่ปกติ นิพจน์ในบทแนะนำ Java

การใช้งานทั่วไปของ regularExpressionProtection คือการประเมิน JSON และ XML ที่มีเนื้อหาที่เป็นอันตราย

ไม่มีนิพจน์ทั่วไปสามารถกำจัดการโจมตีตามเนื้อหาทั้งหมด และกลไกหลายอย่างควร รวมกันเพื่อให้ป้องกันได้ในระดับลึก ส่วนนี้จะอธิบายรูปแบบที่แนะนำสำหรับ การยกเว้นเนื้อหา

ตัวอย่างการยกเว้น รูปแบบ

นิพจน์ทั่วไปต้องเข้ารหัส XML ในไฟล์การกำหนดค่า XML ของนโยบาย

[\s]*((delete)|(exec)|(drop\s*table)|(insert)|(shutdown)|(update)|(\bor\b))

<!--#(include|exec|echo|config|printenv)\s+.*

<!--#(include|exec|echo|config|printenv)\s+.*

(/(@?[\w_?\w:\*]+(\[[^]]+\])*)?)+

/?(ancestor(-or-self)?|descendant(-or-self)?|following(-sibling))

<\s*script\b[^>]*>[^<]+<\s*/\s*script\s*>

<\s*script\b[^>]*>[^<]+<\s*/\s*script\s*>

.*?Exception in thread.*

ตั้งค่าส่วนหัว Content-Type ในคำขอที่มีเพย์โหลด XML หรือ JSON

เพย์โหลดของนโยบายการป้องกันนิพจน์ทั่วไปอาจมีสิ่งต่อไปนี้ องค์ประกอบ:

• องค์ประกอบ <XMLPayload>: ระบุว่าต้องดึงข้อมูลจาก เพย์โหลด XML และประเมินด้วยนิพจน์ทั่วไปที่ระบุ

  หากคุณใช้ <XMLPayload> ในนโยบาย ค่า ส่วนหัวของคำขอ Content-Type ต้องเป็นประเภทเนื้อหา XML เช่น application/xml หรือ text/xml

• องค์ประกอบ <JSONPayload>: ระบุว่าต้องดึงข้อมูล จากเพย์โหลด JSON และประเมินด้วยนิพจน์ทั่วไปที่ระบุ

  หากคุณใช้ <JSONPayload> ในนโยบาย ค่า ส่วนหัวของคำขอ Content-Type ต้องเป็นประเภทเนื้อหา JSON เช่น application/json

โดยปกติแล้ว คุณออกแบบ API ให้ยอมรับ XML หรือ JSON อย่างไรก็ตาม อาจมีสถานการณ์ ที่ API ยอมรับทั้ง 2 แบบ จากนั้นคุณสามารถกำหนดนโยบายการป้องกันนิพจน์ทั่วไป ที่ใช้ทั้งองค์ประกอบ <XMLPayload> และ <JSONPayload> มีเพียงองค์ประกอบเดียวเท่านั้นที่จะนำมาใช้สำหรับคำขอเฉพาะโดยพิจารณาจากค่าของ ส่วนหัว Content-Type

การอ้างอิงองค์ประกอบ

การอ้างอิงองค์ประกอบอธิบายองค์ประกอบและแอตทริบิวต์ของ regularExpressionProtection

<RegularExpressionProtection async="false" continueOnError="false" enabled="true" name="Regular-Expression-Protection-1">
   <DisplayName>Regular Expression Protection 1</DisplayName>
   <Source>response</Source>
   <IgnoreUnresolvedVariables>false</IgnoreUnresolvedVariables>
   <URIPath>
     <Pattern>REGEX PATTERN</Pattern>
     <Pattern>REGEX PATTERN</Pattern>
   </URIPath>
   <QueryParam name="a-query-param">
     <Pattern>REGEX PATTERN</Pattern>
     <Pattern>REGEX PATTERN</Pattern>
   </QueryParam>
   <Header name="a-header">
     <Pattern>REGEX PATTERN</Pattern>
     <Pattern>REGEX PATTERN</Pattern>
   </Header>
   <FormParam name="a-form-param">
     <Pattern>REGEX PATTERN</Pattern>
     <Pattern>REGEX PATTERN</Pattern>
   </FormParam>
   <Variable name="request.content">
     <Pattern>REGEX PATTERN</Pattern>
     <Pattern>REGEX PATTERN</Pattern>
   </Variable>
   <XMLPayload>
     <Namespaces>
       <Namespace prefix="apigee">http://www.apigee.com</Namespace>
     </Namespaces>
     <XPath>
       <Expression>/apigee:Greeting/apigee:User</Expression>
       <Type>string</Type>
       <Pattern>REGEX PATTERN</Pattern>
       <Pattern>REGEX PATTERN</Pattern>
     </XPath>
   </XMLPayload>
   <JSONPayload>
     <JSONPath>
       <Expression>$.store.book[*].author</Expression>
       <Pattern>REGEX PATTERN</Pattern>
       <Pattern>REGEX PATTERN</Pattern>
     </JSONPath>
    </JSONPayload>
</RegularExpressionProtection>

<RegularExpressionProtection> แอตทริบิวต์

<RegularExpressionProtection async="false" continueOnError="false" enabled="true" name="Regular-Expression-Protection-1">

ตารางต่อไปนี้อธิบายแอตทริบิวต์ทั่วไปในองค์ประกอบระดับบนสุดของนโยบายทั้งหมด

<DisplayName> องค์ประกอบ

ใช้เพิ่มเติมจากแอตทริบิวต์ name เพื่อติดป้ายกำกับนโยบายใน เครื่องมือแก้ไขพร็อกซี UI การจัดการด้วยชื่อที่เป็นภาษาธรรมชาติต่างกัน

<DisplayName>Policy Display Name</DisplayName>

<Source> องค์ประกอบ

ระบุข้อความที่ต้องดึงข้อมูล

หากละเว้นองค์ประกอบ <Source> ค่าเริ่มต้นจะเป็น message เช่น <Source>message</Source> เมื่อตั้งค่าเป็น คุณ message นโยบายนี้จะใช้ข้อความคำขอเป็นแหล่งที่มาเมื่อแนบมากับคำขอ ในทํานองเดียวกัน นโยบายจะใช้ข้อความตอบกลับเมื่อแนบไปกับขั้นตอนการตอบกลับ

หากแก้ไขข้อความต้นฉบับไม่ได้หรือหากเปลี่ยนเป็นประเภทที่ไม่ใช่ข้อความแล้ว นโยบาย แสดงผลข้อผิดพลาด

<Source>response</Source>

<IgnoreUnresolvedVariables> องค์ประกอบ

กำหนดว่านโยบายจะแสดงข้อผิดพลาดหรือไม่เมื่อพบตัวแปรที่ แก้ไขไม่ได้

หากตั้งค่าเป็น false (ค่าเริ่มต้น) นโยบายจะแสดงข้อผิดพลาดเมื่อแก้ไขไม่ได้ พบตัวแปร หากตั้งค่าเป็น true ระบบจะถือว่าตัวแปรที่ยังไม่ได้แก้ไขเป็นค่าว่าง string (Null)

<IgnoreUnresolvedVariables>false</IgnoreUnresolvedVariables>

<URIPath> องค์ประกอบ

ระบุว่าต้องดึงข้อมูลจากเส้นทาง URI คำขอและประเมิน เทียบกับนิพจน์ทั่วไปที่ให้ไว้ คุณต้องระบุอย่างน้อย 1 รายการ องค์ประกอบ <Pattern> ที่ระบุรูปแบบนิพจน์ทั่วไปที่จะจับคู่

<URIPath>
  <Pattern>REGEX PATTERN</Pattern>
  <Pattern>REGEX PATTERN</Pattern>
</URIPath>

<QueryParam> องค์ประกอบ

ระบุว่าต้องดึงข้อมูลจากพารามิเตอร์การค้นหาคำขอ ประเมินตามนิพจน์ทั่วไปที่ระบุ คุณต้องระบุอย่างน้อย 1 รายการ องค์ประกอบ <Pattern> ที่ระบุรูปแบบนิพจน์ทั่วไปที่จะจับคู่

<QueryParam name="a-query-param">
  <Pattern>REGEX PATTERN</Pattern>
  <Pattern>REGEX PATTERN</Pattern>
</QueryParam>

Attributes

<Header> องค์ประกอบ

ระบุว่าต้องดึงข้อมูลจากส่วนหัวคำขอและส่วนหัวการตอบกลับ ประเมินตามนิพจน์ทั่วไปที่ระบุ คุณต้องระบุอย่างน้อย 1 รายการ องค์ประกอบ <Pattern> ที่ระบุรูปแบบนิพจน์ทั่วไปที่จะจับคู่

<Header name="a-header">
  <Pattern>REGEX PATTERN</Pattern>
  <Pattern>REGEX PATTERN</Pattern>
</Header>

Attributes

<FormParam> องค์ประกอบ

ระบุว่าจำเป็นต้องดึงข้อมูลจากพารามิเตอร์แบบฟอร์มคำขอและประเมิน เทียบกับนิพจน์ทั่วไปที่ให้ไว้ คุณต้องระบุอย่างน้อย 1 รายการ องค์ประกอบ <Pattern> ที่ระบุรูปแบบนิพจน์ทั่วไปที่จะจับคู่

<FormParam name="a-form-param">
   <Pattern>REGEX PATTERN</Pattern>
   <Pattern>REGEX PATTERN</Pattern>
</FormParam>

Attributes

<Variable> องค์ประกอบ

ระบุว่าต้องดึงข้อมูลจากตัวแปรที่กำหนดและประเมินตาม นิพจน์ทั่วไปที่มีให้

<Variable name="request.content">
   <Pattern>REGEX PATTERN</Pattern>
   <Pattern>REGEX PATTERN</Pattern>
</Variable>

Attributes

<XMLPayload> องค์ประกอบ

ระบุว่าต้องดึงข้อมูลจากเพย์โหลด XML และประเมินด้วย แสดงนิพจน์ทั่วไปแล้ว

<XMLPayload>
   <Namespaces>
      <Namespace prefix="apigee">http://www.apigee.com</Namespace>
   </Namespaces>
   <XPath>
      <Expression>/apigee:Greeting/apigee:User</Expression>
      <Type>string</Type>
      <Pattern>REGEX PATTERN</Pattern>
      <Pattern>REGEX PATTERN</Pattern>
   </XPath>
</XMLPayload>

<XMLPayload>/<Namespaces> องค์ประกอบ

ระบุเนมสเปซที่จะใช้ในการประเมินค่า XPath

<XMLPayload>
   <Namespaces>
      <Namespace prefix="apigee">http://www.apigee.com</Namespace>
   </Namespaces>
   <XPath>
      <Expression>/apigee:Greeting/apigee:User</Expression>
      <Type>string</Type>
      <Pattern>REGEX PATTERN</Pattern>
      <Pattern>REGEX PATTERN</Pattern>
   </XPath>
</XMLPayload>

<XMLPayload>/<Namespaces>/<Namespace> องค์ประกอบ

<Namespaces>
   <Namespace prefix="apigee">http://www.apigee.com</Namespace>
</Namespaces>

Attributes

<XMLPayload>/<XPath> องค์ประกอบ

<XPath>
   <Expression>/apigee:Greeting/apigee:User</Expression>
   <Type>string</Type>
   <Pattern>REGEX PATTERN</Pattern>
   <Pattern>REGEX PATTERN</Pattern>
</XPath>

<XMLPayload>/<XPath>/<Expression> องค์ประกอบ

<XPath>
   <Expression>/apigee:Greeting/apigee:User</Expression>
   <Type>string</Type>
   <Pattern>REGEX PATTERN</Pattern>
   <Pattern>REGEX PATTERN</Pattern>
</XPath>

<XMLPayload>/<XPath>/<Type> องค์ประกอบ

<XPath>
   <Expression>/apigee:Greeting/apigee:User</Expression>
   <Type>string</Type>
   <Pattern>REGEX PATTERN</Pattern>
   <Pattern>REGEX PATTERN</Pattern>
</XPath>

<XMLPayload>/<XPath>/<Pattern> องค์ประกอบ

กำหนดรูปแบบนิพจน์ทั่วไป หากนิพจน์ทั่วไปใน องค์ประกอบ <Pattern> ของคุณมีอักขระที่สงวน XML (", &, ', < หรือ .) คุณต้องเข้ารหัส XML ก่อนที่จะใส่

<XPath>
   <Expression>/apigee:Greeting/apigee:User</Expression>
   <Type>string</Type>
   <Pattern>REGEX PATTERN</Pattern>
   <Pattern>REGEX PATTERN</Pattern>
</XPath>

&lt;JSONPayload&gt; องค์ประกอบ

ระบุว่าต้องดึงข้อมูลจากเพย์โหลด JSON และประเมินด้วยฟังก์ชัน แสดงนิพจน์ทั่วไปแล้ว

<JSONPayload>
   <JSONPath>
      <Expression>$.store.book[*].author</Expression>
      <Pattern>REGEX PATTERN</Pattern>
      <Pattern>REGEX PATTERN</Pattern>
   </JSONPath>
</JSONPayload>

Attributes

&lt;JSONPayload&gt;/&lt;JSONPath&gt;/&lt;Expression&gt; องค์ประกอบ

ระบุนิพจน์ JSONPath ที่กำหนดไว้สำหรับตัวแปร

<JSONPath>
   <Expression>$.store.book[*].author</Expression>
   <Pattern>REGEX PATTERN</Pattern>
   <Pattern>REGEX PATTERN</Pattern>
</JSONPath>

&lt;JSONPayload&gt;/&lt;JSONPath&gt;/&lt;Pattern&gt; องค์ประกอบ

กำหนดรูปแบบนิพจน์ทั่วไป หากนิพจน์ทั่วไปใน องค์ประกอบ <Pattern> มีอักขระที่สงวน XML (", &, ', < หรือ .) คุณต้องเข้ารหัส XML ก่อนที่จะใส่

<JSONPath>
   <Expression>$.store.book[*].author</Expression>
   <Pattern>REGEX PATTERN</Pattern>
   <Pattern>REGEX PATTERN</Pattern>
</JSONPath>

ข้อมูลอ้างอิงข้อผิดพลาด

This section describes the error codes and messages returned and fault variables set by Edge when this policy triggers an error. This information is important to know if you are developing fault rules to handle faults. If you want to capture an error and raise your own custom error, set the continueOnError="true" attribute on the policy root element. To learn more, see What you need to know about policy errors and Handling faults.

Errors returned from Edge policies follow a consistent format as described in the Error code reference.

Runtime errors

These errors can occur when the policy executes.

Deployment errors

Fault variables

These variables are set when this policy triggers an error. For more information, see What you need to know about policy errors.

สคีมา

หัวข้อที่เกี่ยวข้อง

ภัยคุกคามของ JSON นโยบายการป้องกัน

ภัยคุกคาม XML นโยบายการป้องกัน