Início / unix / Perguntas / 482577
Accepted
x-yuri
Asked: 2018-11-19 10:08:50 +0800 CST

a expansão aritmética do bash parece ser propensa a ataques de injeção

  • 772

Suponha que você queira que seu script pegue variáveis ​​do ambiente:

#!/usr/bin/env bash
set -eu

if (( ${A-} )); then
    echo true
else
    echo false
fi

A expansão aritmética parece ser mais razoável aqui para lidar com (empty), 0, 1cases, ou então:

if [ "${A-}" ] && [ "${A-}" != 0 ]; then

Mas então,

$ A='1 - 1' ./1.sh
false
$ A='B = 1' ./1.sh
true

Então agora você pode basicamente alterar variáveis, o que geralmente não deseja permitir. O que você sugeriria? Como processar sinalizadores booleanos retirados de variáveis ​​de ambiente?

bash arithmetic

1 respostas

  1. Best Answer

    Se você não tiver certeza se a variável contém um int, você pode validar seu valor:

    #!/usr/bin/env bash
set -eu

vint() {
    local v
    for v; do
        if echo "$v" | egrep '[^0-9]' &> /dev/null; then
            printf '%s: %s: not an int\n' "$0" "$v" >&2
            exit 1
        fi
    done
}

vint "${A-}"
if (( ${A-} )); then
    echo true
else
    echo false
fi

    Isto é o mais longe que eu poderia levá-lo.

    • 1

relate perguntas