تست و بازبینی کدی که خودتان ننوشته‌اید

وقتی کدی را خودتان ننوشته‌اید — چه از یک مدل هوش مصنوعی گرفته باشید، چه از یک همکار یا یک کتابخانهٔ open source — مسئولیت بازبینی آن هنوز روی دوش شماست. این مقاله یک چک‌لیست کاملاً کاربردی برای بازبینی دفاعی است: نه این‌که چطور به سیستمی حمله شود، بلکه چطور پیش از انتشار، نقاط ضعف رایج را پیدا و برطرف کنید.

چرا این چک‌لیست را جدی بگیرید

کد تولیدشده معمولاً از نظر ظاهری تمیز به نظر می‌رسد؛ نام متغیرها خوانا هستند، تورفتگی درست است، حتی گاهی کامنت هم دارد. همین ظاهر مرتب باعث می‌شود بازبینی سطحی انجام شود و نکات مهم‌تر نادیده گرفته شوند. بازبینی دفاعی یعنی به‌جای اعتماد به ظاهر کد، پنج نقطهٔ مشخص را هر بار، بدون استثنا، بررسی کنید — چه کد را یک مدل نوشته باشد، چه یک همکار تازه‌کار.

چک‌لیست بازبینی: پنج نقطهٔ کلیدی

۱. ورودی‌های کاربر

هر جایی که کاربر می‌تواند متن، عدد، فایل یا URL وارد کند، باید پیش از استفاده اعتبارسنجی شود. سؤال‌هایی که باید از خودتان بپرسید:

• آیا طول، نوع و فرمت ورودی بررسی می‌شود؟
• آیا ورودی مستقیم داخل query پایگاه‌داده یا یک دستور سیستم‌عامل قرار می‌گیرد؟
• آیا خروجی که از ورودی کاربر ساخته می‌شود، پیش از نمایش در صفحه escape می‌شود؟

۲. دسترسی به فایل

کدی که فایل می‌خواند، می‌نویسد یا حذف می‌کند باید مسیر را محدود کند. نکات قابل بررسی:

• آیا مسیر فایل مستقیماً از ورودی کاربر ساخته می‌شود؟
• آیا محدودیتی برای این‌که فقط داخل یک پوشهٔ مشخص عمل شود وجود دارد؟
• آیا حجم و نوع فایل آپلودشده بررسی می‌شود؟