Pymongo ORM 주입? 살균 입력

Question

나는 SQL 인젝션을 알고 있고, orm injection이라 불리는 nosql도 마찬가지라고 생각합니다.
나는 pymongo와 mongodb를 사용하고 있으며, 사용자가 간단한 find()와 $ regexp 연산자를 사용하여 입력을 제어한다.
입력 내용을 'sanitize'하는 방법은 무엇입니까?

Answer 1

ORM 주입으로 말하면 실제로는 MongoDB 또는 NoSQL 시스템이 아닌 관계형 데이터베이스 시스템에 대해서 말합니다. PyMongo는 ORM 도구가 아니므로 ORM 주입이 수행되지 않습니다.

MongoDB 찾기 작업은 컬렉션의 데이터를 수정하거나 삭제하지 않습니다. 신뢰할 수없는 인풋으로는 안전합니다. ,

{"$where": "function() { for (var i=0; i<1000000; i++) {}; return true; }"} 

이 코드에서 확인 할 수 없음을 의미하는 것이 : here를 설명한 바와 같이, 일어날 수

있는 유일한 방법은, 나쁜 쿼리를 이런 식으로 뭔가를 수행하여 시스템을 늦출 수 없다고입니다 기능은 사용자 매개 변수를 통해 전송됩니다.