security - 为什么在配置文件中限制 URI 字符？

Question

我正在使用干净的 URL 进行搜索。如果用户键入单引号，则表示不允许的 URI 字符。而且我知道如何使字符出现在 URL 中。我想知道允许某些字符（如大括号、引号等）的安全漏洞？

我想通过解释或外部参考等任何方式了解这一点。

Answer 1

我假设您正在谈论 URL 的“查询字符串”部分，如果是这样，那么您的框架可能不允许这些字符来防止 SQL 注入类型的攻击，因为在您的代码中您可能最终使用这些查询字符串值来构造一个 SQL 查询和繁荣，你的应用程序是 SQL 注入。