experimental_taintUniqueValue

taintUniqueValue(errMessage, lifetime, value)

• Ссылка
  • taintUniqueValue(message, lifetime, value)
• Использование
  • Предотвращение передачи токена в компоненты клиента

Ссылка

taintUniqueValue(message, lifetime, value)

Вызовите taintUniqueValue с паролем, токеном, ключом или хэшем, чтобы зарегистрировать его в React как значение, которое не должно передаваться в компоненты клиента:

import {experimental_taintUniqueValue} from 'react';

experimental_taintUniqueValue(
  'Do not pass secret keys to the client.',
  process,
  process.env.SECRET_KEY
);

См. дополнительные примеры ниже.

Параметры

• message: Сообщение, которое вы хотите отобразить, если value передается в компонент клиента. Это сообщение будет отображено как часть ошибки, которая будет выброшена, если value передается в компонент клиента.

• lifetime: Любой объект, который указывает, как долго value должен быть помечен как конфиденциальный. value будет заблокирован от отправки в любой компонент клиента, пока этот объект существует. Например, передача globalThis блокирует значение на весь срок действия приложения. lifetime обычно является объектом, свойства которого содержат value.

• value: Строка, целое число большого размера или TypedArray. value должен быть уникальной последовательностью символов или байтов с высокой энтропией, такой как криптографический токен, закрытый ключ, хэш или длинный пароль. value будет заблокирован от отправки в любой компонент клиента.

Возвращаемое значение

experimental_taintUniqueValue возвращает undefined.

Ограничения

• Вычисление новых значений из помеченных значений может нарушить защиту от подмены. Новые значения, созданные путем преобразования помеченных значений в верхний регистр, конкатенации помеченных строковых значений в большую строку, преобразования помеченных значений в base64, подстроки помеченных значений и другие аналогичные преобразования, не помечаются как конфиденциальные, если вы явно не вызываете taintUniqueValue для этих вновь созданных значений.
• Не используйте taintUniqueValue для защиты значений с низкой энтропией, таких как PIN-коды или номера телефонов. Если какое-либо значение в запросе контролируется злоумышленником, он может определить, какое значение помечено как конфиденциальное, перечислив все возможные значения секрета.

Использование

Предотвращение передачи токена в компоненты клиента

Для того, чтобы конфиденциальная информация, такая как пароли, сеансовые токены или другие уникальные значения, не попала непреднамеренно в компоненты клиента, функция taintUniqueValue предоставляет уровень защиты. Когда значение помечено как конфиденциальное, любая попытка передать его в компонент клиента приведет к ошибке.

Аргумент lifetime определяет продолжительность, в течение которой значение остается помеченным как конфиденциальное. Для значений, которые должны оставаться помеченными как конфиденциальные неопределенно долго, объекты, такие как globalThis или process могут служить аргументом lifetime. Эти объекты существуют на протяжении всего выполнения вашего приложения.

import {experimental_taintUniqueValue} from 'react';

experimental_taintUniqueValue(
  'Do not pass a user password to the client.',
  globalThis,
  process.env.SECRET_KEY
);

Если срок действия помеченного значения привязан к объекту, то lifetime должен быть объектом, который инкапсулирует значение. Это гарантирует, что помеченное значение останется защищенным на протяжении всего существования инкапсулирующего объекта.

import {experimental_taintUniqueValue} from 'react';

export async function getUser(id) {
  const user = await db`SELECT * FROM users WHERE id = ${id}`;
  experimental_taintUniqueValue(
    'Do not pass a user session token to the client.',
    user,
    user.session.token
  );
  return user;
}

В этом примере объект user используется в качестве аргумента lifetime. Если этот объект хранится в глобальном кэше или доступен другому запросу, сеансовый токен остается помеченным как конфиденциальный.

import {experimental_taintUniqueValue} from 'react';

const password = 'correct horse battery staple';

experimental_taintUniqueValue(
  'Do not pass the password to the client.',
  globalThis,
  password
);

const uppercasePassword = password.toUpperCase() // `uppercasePassword` is not tainted

export async function Dashboard(props) {
  // DO NOT DO THIS
  return <Overview password={process.env.API_PASSWORD} />;
}

"use client";

import {useEffect} from '...'

export async function Overview({ password }) {
  useEffect(() => {
    const headers = { Authorization: password };
    fetch(url, { headers }).then(...);
  }, [password]);
  ...
}

import "server-only";

export function fetchAPI(url) {
  const headers = { Authorization: process.env.API_PASSWORD };
  return fetch(url, { headers });
}

import "server-only";
import {experimental_taintUniqueValue} from 'react';

experimental_taintUniqueValue(
  'Do not pass the API token password to the client. ' +
    'Instead do all fetches on the server.'
  process,
  process.env.API_PASSWORD
);