Защита от инъекций

Инъекции в контексте веб-приложений представляют собой внедрение произвольного кода или данных в обработку страницы. В автоматизированном тестировании с Puppeteer это особенно важно, поскольку сценарии эмулируют реальные действия пользователей, включая ввод данных, клики и навигацию. Неправильная обработка этих действий может привести к запуску вредоносного кода или некорректным тестовым результатам.

Ввод данных и XSS

Puppeteer позволяет взаимодействовать с формами через методы page.type, page.fill или установку значений через page.evaluate. При работе с динамическим вводом данных существует риск межсайтового скриптинга (XSS): 

await page.type(&


Если тестируемое приложение напрямую вставляет введённый текст в DOM без
экранирования, тест может случайно запустить вредоносный скрипт. Для
предотвращения:



    

  • 
Использовать page.$eval</code> или
<code>page.evaluate</code>
с безопасным присваиванием значений через
<code>textContent</code>
вместо <code>innerHTML</code>.</li>
<li>Вводимые данные должны обрабатываться так, чтобы браузер
воспринимал
их как текст, а не код:</li>
</ul>
<pre class="javascript"><code>await
page.$eval('#username', (el, value) => { el.textContent =
value; }, '<script>alert("XSS")</script>');

Инъекции через URL и query-параметры

Автоматические тесты часто включают переход по URL с параметрами. Прямое подставление пользовательских данных может вызвать уязвимости: 

await page.goto(`https://example.com/search?query=${userInput}`);

Для защиты от инъекций:

  • Кодировать все значения с помощью encodeURIComponent.
  • Проверять допустимые символы и длину параметров.
  • Использовать строгое формирование URL через шаблонные строки с экранированием: 
const safeQuery = encodeURIComponent(userInput);
await page.goto(`https://example.com/search?query=${safeQuery}`);

Эмуляция кликов и взаимодействий

Методы page.click и page.hover кажутся безопасными, но при использовании в сочетании с динамически изменяемыми селекторами есть риск непреднамеренного воздействия на элементы:

  • Никогда не формировать селекторы на основе сырых пользовательских данных без проверки.
  • Предварительно удостоверяться, что элемент существует и соответствует ожидаемому типу: 
const button = await page.$('button[data-action="submit"]');
if (button) {
  await button.click();
}

Работа с внешними скриптами

Puppeteer может загружать страницы с внешними скриптами, что создаёт риск внедрения стороннего кода. Защита включает:

  • Использование политики Content Security Policy (CSP) на тестовых стендах.
  • Ограничение загрузки скриптов через page.setRequestInterception: 
await page.setRequestInterception(true);
page.on('request', request => {
  if (request.resourceType() === 'script' && !request.url().startsWith('https://trusted.cdn/')) {
    request.abort();
  } else {
    request.continue();
  }
});

Проверка на SQL-инъекции в интерфейсе

Хотя Puppeteer не взаимодействует напрямую с базой данных, тестирование форм, которые передают данные на сервер, может помочь выявить SQL-инъекции. Практика:

  • Отправлять в поля формы безопасные и специально сформированные тестовые строки (например, ’ OR ‘1’=’1).
  • Проверять реакцию приложения через DOM или HTTP-ответы.
  • Обеспечивать корректную экранизацию данных на сервере, а в тестах симулировать безопасный поток: 
await page.type('#search', "' OR '1'='1");
await page.click('#searchButton');
const content = await page.content();
if (content.includes('Database error')) {
  throw new Error('Потенциальная уязвимость SQL-инъекции обнаружена');
}

Логи и трассировка

Логирование действий Puppeteer помогает обнаружить несанкционированное выполнение кода:

  • Включать page.on(‘console’) для отслеживания вывода скриптов.
  • Фильтровать предупреждения и ошибки, чтобы выявлять внедрение неожиданных данных: 
page.on('console', msg => {
  if (msg.type() === 'error') {
    console.error('Ошибка на странице:', msg.text());
  }
});

Практика безопасного тестирования

  • Разделение данных и логики: все пользовательские данные должны обрабатываться как текст.
  • Проверка селекторов: динамические селекторы требуют валидации перед взаимодействием.
  • Контроль ресурсов: блокировать загрузку внешних скриптов, если они не критичны для теста.
  • Экранирование URL и параметров: исключает возможность внедрения кода через ссылки и GET-параметры.

Эти меры обеспечивают надёжное тестирование интерфейсов и защищают как тестовую среду, так и сам Puppeteer от непредвиденных последствий внедрения вредоносного кода.

Оглавление