[技術] checkmarx弱掃修補

Second Order SQL Injection
取出的值未經過濾或驗證，該值再使用於資料庫查詢
修補方式：對取出的值做檢查
原為

return $article_no;

改為

return (int)str_replace(",", "", $article_no);

參考資料：
https://www.itread01.com/articles/1476210031.html
https://codertw.com/%E7%A8%8B%E5%BC%8F%E8%AA%9E%E8%A8%80/528220/
https://www.qa-knowhow.com/?p=4242

Stored XSS
原為

echo $message;

改為

echo htmlspecialchars($message, ENT_QUOTES);

參考資料：
https://www.qa-knowhow.com/?p=2992
https://ithelp.ithome.com.tw/questions/10189316

Insecure Randomness
因使用rand()或str_shuffle()函數被檢測出需修補
修補方式：
原為

substr(str_shuffle('0123456789'), 0, 3);

改為

random_int(100, 999);  //取3位數 數字

參考資料：
https://www.soliantconsulting.com/blog/secure-randomness-php/
https://www.php.net/manual/en/function.random-int.php

 其他參考資料：
叡揚資訊-應用系統面臨多元資安風險之教戰手則(下)
https://www.gss.com.tw/eis/161-eis85/1672-eis85-9