किसी web एप्लिकेशन को XSS, CSRF और SQL injection से कैसे बचाते हैं?

तीनों तब होते हैं जब अविश्वसनीय input किसी भरोसेमंद संदर्भ में मिल जाता है। SQL injection parameterized queries से रोकें, string जोड़ने से कभी नहीं। XSS संदर्भ के हिसाब से output encoding से रोकें, कच्चे HTML injection से बचकर, जो HTML render करना ही पड़े उसे sanitize करके, और एक सख्त Content Security Policy से। CSRF को SameSite cookies और state बदलने वाली requests पर प्रति session token से रोकें, या ऐसे custom header से जिसे कोई cross site form सेट नहीं कर सकता।

मैं इन्हें एक ही शक्ल की तरह देखता हूं: यूज़र से आया डेटा ऐसी जगह पहुंच जाता है जहां उसकी व्याख्या होती है। SQL में व्याख्या करने वाला डेटाबेस है, तो parameterized queries या values bind करने वाला query builder इसे पूरी तरह हल कर देता है, और string जोड़ने की कोई स्वीकार्य वजह है ही नहीं। XSS में व्याख्या करने वाला ब्राउज़र है, और अहम बात यह है कि escaping संदर्भ पर निर्भर है। React आपके लिए text nodes escape करता है, तो जोखिम उन बचने के रास्तों में जमा हो जाता है: कच्चा HTML injection, ऐसी href values जो javascript URL हो सकती हैं, और वह सब जो सीधे DOM में लिखा जाता है। जहां प्रोडक्ट को सच में यूज़र का HTML चाहिए, जैसे rich text field, वहां मैं सर्वर पर allowlist वाली library से sanitize करता हूं और दूसरी परत के तौर पर सख्त CSP जोड़ता हूं ताकि कोई चूक अपने आप account पर कब्ज़ा न बन जाए। CSRF तभी लागू होता है जब ब्राउज़र credentials अपने आप जोड़ता है, तो SameSite को Lax करने से उसका ज़्यादातर हिस्सा मर जाता है, और फिर भी मैं state बदलने वाली हर चीज़ पर प्रति session token लगाता हूं। cookies पर httpOnly और Secure तो आदतन लगते ही हैं।