输入验证

黑名单思路：「禁止 '、;、--、<script>……」
  → 恶意输入的空间不可枚举（编码变体、大小写、注释、截断……无穷无尽）
  → 每种新写法都是一次绕过，黑名单永远在追赶

白名单思路：「订单号 = 恰好 16 位数字」
  → 合法输入的空间可以枚举（业务规则说了算）
  → 不在集合内的一律拒绝，新攻击写法自动被挡在门外

def validate_order_param(raw: str) -> int:
    if not isinstance(raw, str):          # 1. 类型层：它是不是我以为的类型
        raise ValidationError("bad type")
    if len(raw) > 10:                     # 2. 长度层：先限长再谈其他
        raise ValidationError("too long")
    if not raw.isdigit():                 # 3. 格式层：白名单字符集
        raise ValidationError("bad format")
    order_id = int(raw)
    if not (1 <= order_id <= 10**9):      # 4. 范围层：数值语义
        raise ValidationError("out of range")
    if not order_exists(order_id):        # 5. 语义层：业务规则（存在性/所有权）
        raise ValidationError("not found")
    return order_id

from pydantic import BaseModel, Field

class OrderCreate(BaseModel):
    product_id: int = Field(ge=1, le=10**9)            # 范围层
    quantity: int = Field(ge=1, le=100)                # 范围层
    coupon: str | None = Field(None, max_length=32,
                               pattern=r'^[A-Z0-9]{4,32}$')  # 格式层

import { z } from 'zod';

const OrderCreate = z.object({
  productId: z.number().int().min(1),
  quantity: z.number().int().min(1).max(100),
  coupon: z.string().max(32).regex(/^[A-Z0-9]{4,32}$/).optional(),
});
const order = OrderCreate.parse(body);   // 不合规直接抛错，天然失败安全

import os

def safe_download(base_dir: str, filename: str) -> str:
    if '\x00' in filename:                        # 空字节直接拒绝（C 栈截断风险）
        raise ValidationError("bad name")
    name = os.path.basename(filename)             # 剥掉任何路径成分
    if not re.fullmatch(r'[A-Za-z0-9._-]{1,64}', name):
        raise ValidationError("bad name")         # 白名单字符集
    full = os.path.realpath(os.path.join(base_dir, name))  # 规范化解析符号链接
    if not full.startswith(os.path.realpath(base_dir) + os.sep):
        raise ValidationError("escape detected")  # 终点必须仍在基目录内
    return full

# 普通用户：纯文本。验证 + 出口编码即可，不需要净化
#   - 验证：长度上限 + 拒绝控制字符
#   - 输出：模板引擎自动 HTML 转义（出口编码）

# 管理员富文本：允许有限标签，净化才登场
clean = bleach.clean(
    raw,
    tags={'b', 'i', 'a', 'p'},           # 白名单标签，不是黑名单删除
    attributes={'a': {'href'}},          # 白名单属性
    protocols={'https'},                 # href 协议白名单（防 javascript: 伪协议）
)
# 净化结果按「不可信 HTML」存储与渲染，仍不做二次转义（避免双重编码）

class Register(BaseModel):
    username: str = Field(min_length=3, max_length=20,
                          pattern=r'^[a-zA-Z0-9_]+$')   # 长度 + 格式
    email: EmailStr                                     # 格式（现成验证器）
    age: int = Field(ge=1, le=149)                      # 范围
    # 类型层由 Pydantic 的字段类型声明完成（str/int 之外的输入直接报错）