security

Security — безопасность vmkteam Go-сервисов

Справочник по безопасности для vmkteam-стека: JSON-RPC API, go-pg, zenrpc, auth middleware. Используется автоматически при code review (/go-review) и разработке (/solve).

Инструменты

Инструмент	Что ищет	Команда
gosec	SQL injection, hardcoded credentials, weak crypto, command injection	gosec ./...
govulncheck	Уязвимости в зависимостях (только реально используемые функции)	govulncheck ./...
gitleaks	API keys, tokens, passwords в коде и git-истории	gitleaks detect --source .
trivy	Уязвимости в Docker-образах	CI only

SQL Injection

Главная точка риска — _repo_ext.go (кастомные запросы).

Плохо — пользовательский ввод в raw SQL:

// УЯЗВИМО: searchText попадает в SQL напрямую
func (r OrderRepo) SearchOrders(ctx context.Context, searchText string) ([]Order, error) {
    var orders []Order
    _, err := r.db.Query(&orders,
        "SELECT * FROM orders WHERE title LIKE '%"+searchText+"%'", nil)
    return orders, err
}

Хорошо — параметризованный запрос через go-pg:

func (r OrderRepo) SearchOrders(ctx context.Context, searchText string) ([]Order, error) {
    var orders []Order
    err := r.db.Model(&orders).
        Where("title ILIKE ?", "%"+searchText+"%").
        Select()
    return orders, err
}

Хорошо — если нужен raw SQL, использовать pg.SafeQuery:

q := r.db.Model(&orders)
q = q.Where("? ILIKE ?", pg.Ident("title"), "%"+searchText+"%")

Правило: go-pg ORM экранирует автоматически. Опасность только в Query() с конкатенацией строк.

Аутентификация и авторизация

Auth middleware (типичная ошибка — IDOR)

Middleware проверяет аутентификацию (есть ли валидный токен), но не авторизацию (может ли этот пользователь делать это действие).

Плохо — middleware пропустил, но метод не проверяет ownership:

func (s OrderService) GetByID(ctx context.Context, id int) (*Order, error) {
    // Любой авторизованный пользователь может получить любой заказ
    return s.repo.OrderByID(ctx, id)
}