حقن الصيغ في CSV والتصدير الآمن

إذا احتوى ملف CSV على قيم من نموذج ويب أو قاعدة بيانات، فقد يفسر Excel أو LibreOffice Calc أو برنامج جداول آخر الخلية التي تبدأ برموز مثل `=` على أنها صيغة. وإذا تمكن مهاجم من التحكم في القيمة، فقد تكشف الصيغة بيانات أو تسبب أضرارًا أخرى عبر سلوك التطبيق أو تصرفات المستخدم. ويتوقف الأثر على البرنامج وإعداداته.

وضع الحقل بين علامتي اقتباس مزدوجتين ومعالجة العلامات الداخلية هو معالجة للبنية، وتحافظ على الفواصل والأسطر الجديدة داخل الحقل المقصود. أما تفسير برنامج الجداول للخلية على أنها صيغة فهو مرحلة منفصلة. لذلك لا يثبت الهروب الصحيح لبنية CSV وحده أن حقن الصيغ قد عولج.

ميّز أولًا بين CSV للمعالجة الآلية والملفات التي سيفتحها الأشخاص في برنامج جداول. في الحالة الثانية، فكّر في مكتبة أو تنسيق يحفظ القيمة صراحةً كنص. وإذا كان CSV مطلوبًا، فاختبر تعامل التطبيق المستهدف مع القيم التي تبدأ بـ `=` أو `+` أو `-` أو `@` واختر إجراءً مناسبًا له. قد تؤثر إضافة تبويب أو فاصلة عليا في التوافق أو تغيّر القيمة الأصلية؛ لذلك ليست حلًا عامًا.

قد تؤدي الفواصل والفواصل المنقوطة وعلامات الاقتباس والأسطر الجديدة داخل قيم غير موثوقة إلى إنشاء خلايا غير مقصودة عند إنشاء الملف بطريقة خاطئة. وقد تبدأ خلية جديدة برمز صيغة. استخدم مكتبة CSV قياسية لترميز الحقول، وعالج تفسير الصيغ في التطبيق المستهدف على حدة. لا تعتمد على دمج النصوص أو فحص الحرف الأول فقط.

اختبر حالات حدية مثل المسافات في البداية ومحارف التحكم والفواصل وعلامات الاقتباس في برامج الجداول المستهدفة، بما في ذلك بعد الحفظ وإعادة الفتح. تحذر OWASP من أن Excel قد يزيل علامات الاقتباس أو محارف الهروب عند حفظ CSV وإعادة فتحه، مما قد يعيد تفعيل قيمة عولجت سابقًا. احتفظ ببيانات المصدر للمعالجة الآلية منفصلة عن المخرجات المعدلة للعرض في الجداول.