นโยบาย RegularExpressionProtection

คุณกำลังดูเอกสารประกอบ Apigee Edge
ไปที่ เอกสารประกอบเกี่ยวกับ Apigee X. ข้อมูล

อะไร

ดึงข้อมูลจากข้อความ (เช่น เส้นทาง URI, พารามิเตอร์การค้นหา, ส่วนหัว, พารามิเตอร์แบบฟอร์ม, ตัวแปร, เพย์โหลด XML หรือเพย์โหลด JSON) และประเมินเนื้อหานั้นเทียบกับปกติที่กำหนดไว้ล่วงหน้า นิพจน์ ถ้านิพจน์ทั่วไปที่ระบุมีค่าเป็น "จริง" ข้อความจะถือว่าเป็น และถูกปฏิเสธ

วิดีโอ

ดูข้อมูลเพิ่มเติมเกี่ยวกับนโยบายการป้องกันนิพจน์ทั่วไปในวิดีโอต่อไปนี้

ตัวอย่าง

<RegularExpressionProtection name="JsonPathRegExProtection">
    <DisplayName>Regular Expression Protection 1</DisplayName>
    <Source>request</Source>
    <JSONPayload escapeSlashCharacter="true">
       <JSONPath>
          <Expression>$</Expression>
          <Pattern>&lt;\s*script\b[^&gt;]*&gt;[^&lt;]+&lt;\s*\/\s*script\s*&gt;
          </Pattern>
          <Pattern>n\s*\\\\\s*slash</Pattern>
          <Pattern>n\s*\/\s*slash</Pattern>
          <Pattern>n\s*\\"\s*quotes</Pattern>
          <Pattern>n\s*\\b\s*space</Pattern>
          <Pattern>n\s*\\f\s*forwardfeed</Pattern>
          <Pattern>n\s*\\n\s*newline</Pattern>
          <Pattern>n\s*\\r\s*carria</Pattern>
          <Pattern>n\s*\\t\s*tab</Pattern>
          <Pattern>n\s*\\uFFFF\s*hex</Pattern>
       </JSONPath>
    </JSONPayload>
 </RegularExpressionProtection>

<Pattern>[\s]*(?i)((delete)|(exec)|(drop\s*table)|(insert)|(shutdown)|(update)|(\bor\b))</Pattern>

เกี่ยวกับนโยบายการป้องกันนิพจน์ทั่วไป

Apigee Edge ช่วยให้คุณสามารถกำหนดค่านิพจน์ทั่วไปที่สามารถ ประเมินจากการรับส่งข้อมูล API ระหว่างรันไทม์เพื่อระบุภัยคุกคามระดับเนื้อหาที่พบบ่อยที่ตามมา รูปแบบบางอย่าง

นิพจน์ทั่วไป หรือ regex คือชุดของสตริง ที่ระบุรูปแบบในสตริง นิพจน์ทั่วไปช่วยให้เนื้อหาสามารถเขียนโปรแกรมได้ ประเมินรูปแบบ คุณใช้นิพจน์ทั่วไปได้ เช่น เพื่อประเมินอีเมล เพื่อให้แน่ใจว่าโครงสร้างเป็นไปอย่างเหมาะสม ดูข้อมูลเพิ่มเติมได้ที่ปกติ นิพจน์ในบทแนะนำ Java

การใช้งานทั่วไปของ regularExpressionProtection คือการประเมิน JSON และ XML ที่มีเนื้อหาที่เป็นอันตราย

ไม่มีนิพจน์ทั่วไปสามารถกำจัดการโจมตีตามเนื้อหาทั้งหมด และกลไกหลายอย่างควร รวมกันเพื่อให้ป้องกันได้ในระดับลึก ส่วนนี้จะอธิบายรูปแบบที่แนะนำสำหรับ การยกเว้นเนื้อหา

ตัวอย่างการยกเว้น รูปแบบ

นิพจน์ทั่วไปต้องเข้ารหัส XML ในไฟล์การกำหนดค่า XML ของนโยบาย

[\s]*((delete)|(exec)|(drop\s*table)|(insert)|(shutdown)|(update)|(\bor\b))

<!--#(include|exec|echo|config|printenv)\s+.*

<!--#(include|exec|echo|config|printenv)\s+.*

(/(@?[\w_?\w:\*]+(\[[^]]+\])*)?)+

/?(ancestor(-or-self)?|descendant(-or-self)?|following(-sibling))

<\s*script\b[^>]*>[^<]+<\s*/\s*script\s*>

<\s*script\b[^>]*>[^<]+<\s*/\s*script\s*>

.*?Exception in thread.*

ตั้งค่าส่วนหัว Content-Type ในคำขอที่มีเพย์โหลด XML หรือ JSON

เพย์โหลดของนโยบายการป้องกันนิพจน์ทั่วไปอาจมีสิ่งต่อไปนี้ องค์ประกอบ:

• องค์ประกอบ <XMLPayload>: ระบุว่าต้องดึงข้อมูลจาก เพย์โหลด XML และประเมินด้วยนิพจน์ทั่วไปที่ระบุ

  หากคุณใช้ <XMLPayload> ในนโยบาย ค่า ส่วนหัวของคำขอ Content-Type ต้องเป็นประเภทเนื้อหา XML เช่น application/xml หรือ text/xml

• องค์ประกอบ <JSONPayload>: ระบุว่าต้องดึงข้อมูล จากเพย์โหลด JSON และประเมินด้วยนิพจน์ทั่วไปที่ระบุ

  หากคุณใช้ <JSONPayload> ในนโยบาย ค่า ส่วนหัวของคำขอ Content-Type ต้องเป็นประเภทเนื้อหา JSON เช่น application/json

โดยปกติแล้ว คุณออกแบบ API ให้ยอมรับ XML หรือ JSON อย่างไรก็ตาม อาจมีสถานการณ์ ที่ API ยอมรับทั้ง 2 แบบ จากนั้นคุณสามารถกำหนดนโยบายการป้องกันนิพจน์ทั่วไป ที่ใช้ทั้งองค์ประกอบ <XMLPayload> และ <JSONPayload> มีเพียงองค์ประกอบเดียวเท่านั้นที่จะนำมาใช้สำหรับคำขอเฉพาะโดยพิจารณาจากค่าของ ส่วนหัว Content-Type

การอ้างอิงองค์ประกอบ

การอ้างอิงองค์ประกอบอธิบายองค์ประกอบและแอตทริบิวต์ของ regularExpressionProtection

<RegularExpressionProtection async="false" continueOnError="false" enabled="true" name="Regular-Expression-Protection-1">
   <DisplayName>Regular Expression Protection 1</DisplayName>
   <Source>response</Source>
   <IgnoreUnresolvedVariables>false</IgnoreUnresolvedVariables>
   <URIPath>
     <Pattern>REGEX PATTERN</Pattern>
     <Pattern>REGEX PATTERN</Pattern>
   </URIPath>
   <QueryParam name="a-query-param">
     <Pattern>REGEX PATTERN</Pattern>
     <Pattern>REGEX PATTERN</Pattern>
   </QueryParam>
   <Header name="a-header">
     <Pattern>REGEX PATTERN</Pattern>
     <Pattern>REGEX PATTERN</Pattern>
   </Header>
   <FormParam name="a-form-param">
     <Pattern>REGEX PATTERN</Pattern>
     <Pattern>REGEX PATTERN</Pattern>
   </FormParam>
   <Variable name="request.content">
     <Pattern>REGEX PATTERN</Pattern>
     <Pattern>REGEX PATTERN</Pattern>
   </Variable>
   <XMLPayload>
     <Namespaces>
       <Namespace prefix="apigee">http://www.apigee.com</Namespace>
     </Namespaces>
     <XPath>
       <Expression>/apigee:Greeting/apigee:User</Expression>
       <Type>string</Type>
       <Pattern>REGEX PATTERN</Pattern>
       <Pattern>REGEX PATTERN</Pattern>
     </XPath>
   </XMLPayload>
   <JSONPayload>
     <JSONPath>
       <Expression>$.store.book[*].author</Expression>
       <Pattern>REGEX PATTERN</Pattern>
       <Pattern>REGEX PATTERN</Pattern>
     </JSONPath>
    </JSONPayload>
</RegularExpressionProtection>

<RegularExpressionProtection> แอตทริบิวต์

<RegularExpressionProtection async="false" continueOnError="false" enabled="true" name="Regular-Expression-Protection-1">

ตารางต่อไปนี้อธิบายแอตทริบิวต์ทั่วไปในองค์ประกอบระดับบนสุดของนโยบายทั้งหมด

<DisplayName> องค์ประกอบ

ใช้เพิ่มเติมจากแอตทริบิวต์ name เพื่อติดป้ายกำกับนโยบายใน เครื่องมือแก้ไขพร็อกซี UI การจัดการด้วยชื่อที่เป็นภาษาธรรมชาติต่างกัน

<DisplayName>Policy Display Name</DisplayName>

<Source> องค์ประกอบ

ระบุข้อความที่ต้องดึงข้อมูล

หากละเว้นองค์ประกอบ <Source> ค่าเริ่มต้นจะเป็น message เช่น <Source>message</Source> เมื่อตั้งค่าเป็น คุณ message นโยบายนี้จะใช้ข้อความคำขอเป็นแหล่งที่มาเมื่อแนบมากับคำขอ ในทํานองเดียวกัน นโยบายจะใช้ข้อความตอบกลับเมื่อแนบไปกับขั้นตอนการตอบกลับ

หากแก้ไขข้อความต้นฉบับไม่ได้หรือหากเปลี่ยนเป็นประเภทที่ไม่ใช่ข้อความแล้ว นโยบาย แสดงผลข้อผิดพลาด

<Source>response</Source>

<IgnoreUnresolvedVariables> องค์ประกอบ

กำหนดว่านโยบายจะแสดงข้อผิดพลาดหรือไม่เมื่อพบตัวแปรที่ แก้ไขไม่ได้

หากตั้งค่าเป็น false (ค่าเริ่มต้น) นโยบายจะแสดงข้อผิดพลาดเมื่อแก้ไขไม่ได้ พบตัวแปร หากตั้งค่าเป็น true ระบบจะถือว่าตัวแปรที่ยังไม่ได้แก้ไขเป็นค่าว่าง string (Null)

<IgnoreUnresolvedVariables>false</IgnoreUnresolvedVariables>

<URIPath> องค์ประกอบ

ระบุว่าต้องดึงข้อมูลจากเส้นทาง URI คำขอและประเมิน เทียบกับนิพจน์ทั่วไปที่ให้ไว้ คุณต้องระบุอย่างน้อย 1 รายการ องค์ประกอบ <Pattern> ที่ระบุรูปแบบนิพจน์ทั่วไปที่จะจับคู่

<URIPath>
  <Pattern>REGEX PATTERN</Pattern>
  <Pattern>REGEX PATTERN</Pattern>
</URIPath>

<QueryParam> องค์ประกอบ

ระบุว่าต้องดึงข้อมูลจากพารามิเตอร์การค้นหาคำขอ ประเมินตามนิพจน์ทั่วไปที่ระบุ คุณต้องระบุอย่างน้อย 1 รายการ องค์ประกอบ <Pattern> ที่ระบุรูปแบบนิพจน์ทั่วไปที่จะจับคู่

<QueryParam name="a-query-param">
  <Pattern>REGEX PATTERN</Pattern>
  <Pattern>REGEX PATTERN</Pattern>
</QueryParam>

Attributes

<Header> องค์ประกอบ

ระบุว่าต้องดึงข้อมูลจากส่วนหัวคำขอและส่วนหัวการตอบกลับ ประเมินตามนิพจน์ทั่วไปที่ระบุ คุณต้องระบุอย่างน้อย 1 รายการ องค์ประกอบ <Pattern> ที่ระบุรูปแบบนิพจน์ทั่วไปที่จะจับคู่

<Header name="a-header">
  <Pattern>REGEX PATTERN</Pattern>
  <Pattern>REGEX PATTERN</Pattern>
</Header>

Attributes

<FormParam> องค์ประกอบ

ระบุว่าจำเป็นต้องดึงข้อมูลจากพารามิเตอร์แบบฟอร์มคำขอและประเมิน เทียบกับนิพจน์ทั่วไปที่ให้ไว้ คุณต้องระบุอย่างน้อย 1 รายการ องค์ประกอบ <Pattern> ที่ระบุรูปแบบนิพจน์ทั่วไปที่จะจับคู่

<FormParam name="a-form-param">
   <Pattern>REGEX PATTERN</Pattern>
   <Pattern>REGEX PATTERN</Pattern>
</FormParam>

Attributes

<Variable> องค์ประกอบ

ระบุว่าต้องดึงข้อมูลจากตัวแปรที่กำหนดและประเมินตาม นิพจน์ทั่วไปที่มีให้

<Variable name="request.content">
   <Pattern>REGEX PATTERN</Pattern>
   <Pattern>REGEX PATTERN</Pattern>
</Variable>

Attributes

<XMLPayload> องค์ประกอบ

ระบุว่าต้องดึงข้อมูลจากเพย์โหลด XML และประเมินด้วย แสดงนิพจน์ทั่วไปแล้ว

<XMLPayload>
   <Namespaces>
      <Namespace prefix="apigee">http://www.apigee.com</Namespace>
   </Namespaces>
   <XPath>
      <Expression>/apigee:Greeting/apigee:User</Expression>
      <Type>string</Type>
      <Pattern>REGEX PATTERN</Pattern>
      <Pattern>REGEX PATTERN</Pattern>
   </XPath>
</XMLPayload>

<XMLPayload>/<Namespaces> องค์ประกอบ

ระบุเนมสเปซที่จะใช้ในการประเมินค่า XPath

<XMLPayload>
   <Namespaces>
      <Namespace prefix="apigee">http://www.apigee.com</Namespace>
   </Namespaces>
   <XPath>
      <Expression>/apigee:Greeting/apigee:User</Expression>
      <Type>string</Type>
      <Pattern>REGEX PATTERN</Pattern>
      <Pattern>REGEX PATTERN</Pattern>
   </XPath>
</XMLPayload>

<XMLPayload>/<Namespaces>/<Namespace> องค์ประกอบ

<Namespaces>
   <Namespace prefix="apigee">http://www.apigee.com</Namespace>
</Namespaces>

Attributes

<XMLPayload>/<XPath> องค์ประกอบ

<XPath>
   <Expression>/apigee:Greeting/apigee:User</Expression>
   <Type>string</Type>
   <Pattern>REGEX PATTERN</Pattern>
   <Pattern>REGEX PATTERN</Pattern>
</XPath>

<XMLPayload>/<XPath>/<Expression> องค์ประกอบ

<XPath>
   <Expression>/apigee:Greeting/apigee:User</Expression>
   <Type>string</Type>
   <Pattern>REGEX PATTERN</Pattern>
   <Pattern>REGEX PATTERN</Pattern>
</XPath>

<XMLPayload>/<XPath>/<Type> องค์ประกอบ

<XPath>
   <Expression>/apigee:Greeting/apigee:User</Expression>
   <Type>string</Type>
   <Pattern>REGEX PATTERN</Pattern>
   <Pattern>REGEX PATTERN</Pattern>
</XPath>

<XMLPayload>/<XPath>/<Pattern> องค์ประกอบ

กำหนดรูปแบบนิพจน์ทั่วไป หากนิพจน์ทั่วไปใน องค์ประกอบ <Pattern> ของคุณมีอักขระที่สงวน XML (", &, ', < หรือ .) คุณต้องเข้ารหัส XML ก่อนที่จะใส่

<XPath>
   <Expression>/apigee:Greeting/apigee:User</Expression>
   <Type>string</Type>
   <Pattern>REGEX PATTERN</Pattern>
   <Pattern>REGEX PATTERN</Pattern>
</XPath>

&lt;JSONPayload&gt; องค์ประกอบ

ระบุว่าต้องดึงข้อมูลจากเพย์โหลด JSON และประเมินด้วยฟังก์ชัน แสดงนิพจน์ทั่วไปแล้ว

<JSONPayload>
   <JSONPath>
      <Expression>$.store.book[*].author</Expression>
      <Pattern>REGEX PATTERN</Pattern>
      <Pattern>REGEX PATTERN</Pattern>
   </JSONPath>
</JSONPayload>

Attributes

&lt;JSONPayload&gt;/&lt;JSONPath&gt;/&lt;Expression&gt; องค์ประกอบ

ระบุนิพจน์ JSONPath ที่กำหนดไว้สำหรับตัวแปร

<JSONPath>
   <Expression>$.store.book[*].author</Expression>
   <Pattern>REGEX PATTERN</Pattern>
   <Pattern>REGEX PATTERN</Pattern>
</JSONPath>

&lt;JSONPayload&gt;/&lt;JSONPath&gt;/&lt;Pattern&gt; องค์ประกอบ

กำหนดรูปแบบนิพจน์ทั่วไป หากนิพจน์ทั่วไปใน องค์ประกอบ <Pattern> มีอักขระที่สงวน XML (", &, ', < หรือ .) คุณต้องเข้ารหัส XML ก่อนที่จะใส่

<JSONPath>
   <Expression>$.store.book[*].author</Expression>
   <Pattern>REGEX PATTERN</Pattern>
   <Pattern>REGEX PATTERN</Pattern>
</JSONPath>

ข้อมูลอ้างอิงข้อผิดพลาด

ส่วนนี้อธิบายรหัสข้อผิดพลาดและข้อความที่แสดงผลและตัวแปรความผิดพลาดที่ Edge กำหนดเมื่อนโยบายนี้ทริกเกอร์ข้อผิดพลาด ข้อมูลนี้เป็นสิ่งสำคัญที่ต้องทราบ หากคุณกำลังกำหนดกฎข้อผิดพลาดเพื่อจัดการกับข้อผิดพลาด หากต้องการบันทึกข้อผิดพลาดและเพิ่มข้อผิดพลาดที่กำหนดเอง ให้ตั้งค่าแอตทริบิวต์ continueOnError="true" ในองค์ประกอบรูทของนโยบาย ดูข้อมูลเพิ่มเติมได้ที่ สิ่งที่คุณจำเป็นต้องทราบเกี่ยวกับข้อผิดพลาดของนโยบายและการจัดการข้อผิดพลาด

ข้อผิดพลาดที่แสดงผลจากนโยบาย Edge มีรูปแบบที่สอดคล้องกันตามที่อธิบายไว้ในข้อมูลอ้างอิงรหัสข้อผิดพลาด

ข้อผิดพลาดเกี่ยวกับรันไทม์

ข้อผิดพลาดเหล่านี้อาจเกิดขึ้นเมื่อนโยบายทำงาน

ข้อผิดพลาดในการทำให้ใช้งานได้

ตัวแปรของข้อผิดพลาด

ระบบจะตั้งค่าตัวแปรเหล่านี้เมื่อนโยบายนี้ทริกเกอร์ข้อผิดพลาด ดูข้อมูลเพิ่มเติมได้ที่สิ่งที่คุณต้องทราบเกี่ยวกับข้อผิดพลาดของนโยบาย

สคีมา

หัวข้อที่เกี่ยวข้อง

ภัยคุกคามของ JSON นโยบายการป้องกัน

ภัยคุกคาม XML นโยบายการป้องกัน