E-04 Geen injectie: geparametriseerde queries, output-encoding, geen SQL-, OS-, template- of XSS-lekken

Waarom

De klassieke lekken: inloggen, rechten, injectie, geheimen en versleuteling. Hier gaat het in de praktijk het vaakst mis.

Hoe we het controleren

Methode: scan + analist

• Scan: volledig automatisch, met vaste regels. Dezelfde code geeft altijd dezelfde uitkomst.
• Keurder: een erkende keurder bekijkt het bewijs of de plekken die de scan aanwijst, en legt het oordeel vast.

Zo los je een bevinding op

Gebruik geparametriseerde queries (placeholders), geen shell met invoer (execFile met een lijst argumenten), en laat templates automatisch escapen.