Formül gibi görünen metni inceleme tablosunda metin olarak tut

Alıcının metin mi formül mü istediğini belirle

Destek dışa aktarımında müşteri yorumu, kurum içi etiket ve metin olarak yazılmış hesap örneği var. Amaç inceleme tablosuysa bu alanlar metin kalmalıdır. Kendi denetimindeki hesap kitabında ise bazı alanlar bilerek formül olabilir. Dışa aktarma seçeneğini belirlemeden bu farkı yaz.

Elektronik tablo uygulaması belirli karakterlerle başlayan hücreleri formül olarak yorumlayabilir. Bu, CSV söz diziminden ayrı bir katmandır. Buradaki zararsız kurgusal örnek =1+1 metnini kullanır; dış bağlantı, komut veya özel veri içermez. Beklenen görünen değer 2 değil, ifadenin kendisidir.

JSON inceleme örneği:
[{"kind":"comment","value":"=1+1"},{"kind":"label","value":"+sample"},{"kind":"plain","value":"parcel ready"}]

OWASP: CSV injection and spreadsheet interpretation ↗

Hücre sınırı ile metin yorumunu karıştırma

CSV tırnakları ayırıcı veya satır sonu içeren hücrenin yapısını korur. Elektronik tablonun hücre türünü belirlemez. Metin düzenleyicide "=1+1" görmek, tablonun içe aktarırken bunu nasıl göstereceğini veya hesaplayacağını kanıtlamaz.

Önce dışa aktarımı düz metin olarak incele. Varsa hedefin belgelenmiş metin içe aktarma seçeneklerini kullan. Denemeyi ayrı, geçici belgede yap; başkasından gelen dosyayı incelerken güvenilmeyen formülleri çalıştırma. Koruma amacıyla yapılan değişikliği veri bozulmasından ayırmak için kaynak metni sakla.

RFC 4180: CSV quoting ↗OWASP: CSV injection and spreadsheet interpretation ↗

Koruma seçimini açıkça değerlendir

KitForma JSON CSV aracında elektronik tablo formülü koruması başlangıçta açıktır. Örnekte ilk iki value hücresine CSV içinde kesme işareti eklenir; parcel ready değişmez. Formül benzeri hücre algılanırken başlıklar ve baştaki boşluklar da değerlendirilir. Çıktı baytları bilerek asıl metinden farklıdır.

Araçla küçük aday çıktı hazırla, ardından gerçek alıcı uygulamasında kontrol et. Araç bütün tablo uygulamalarının davranışını belgeleyemez. Makine içe aktarımı kaynak karakterleri aynen istiyorsa, metni koruyan ve etkin tablo içeriği olarak açmayan ayrı, belgelenmiş bir teslim yolu kullan.

1. JSON örneğinin değişmemiş kopyasını sakla.
2. Formül koruması açıkken dönüştür.
3. CSV metnindeki bilinçli önekleri kontrol et.
4. Aday dosyayı geçici tabloda metin olarak içe aktar.
5. Görünen değer ile hücrenin gerçek davranışını karşılaştır.

Korumalı CSV içindeki beklenen hücreler:
=1+1      →  '=1+1
+sample   →  '+sample
parcel ready  →  parcel ready

Sonraki kişinin alacağı dosyayı belgele

İnceleme dosyasına ayrı ad ver; formül benzeri metinlere önek eklendiğini yaz. Makine aktarım dosyasından ayrı tut. Kaydedilen tabloyu veya yeniden dışa aktarılan CSV dosyasını açıp üç örnek değere yeniden bak. Sonraki kaydetme adımı önekin saklanmasını ya da yorumunu değiştirebilir.

Gerçek kayıtlarda değişen alanlar için inceleme işareti veya teslim listesi tut; böylece kaynak değere geri dönülebilir. Gelen dosyadaki bütün başlangıç kesmelerini silme, çünkü kesme gerçek veri olabilir. Alıcı amaçlanan metni güvenilir biçimde koruyamıyorsa başka teslim biçimi seç ve onu doğrula.

Soru: Gerçek negatif tutar ne olacak?

Türünü veri sözleşmesine göre belirle. Sayısal tutar ile eksi işaretiyle başlayan metin alanı farklıdır. Koruma önekini ve hedefin sayı içe aktarma ayarını incele; koruma tercihi hesapları fark ettirmeden bozmamalıdır.

Soru: Kesme işareti her CSV dosyasını her yerde güvenli yapar mı?

Burada evrensel davranış garantisi yoktur. İçe aktarma, kaydetme ve yeniden açma uygulamaya göre değişebilir. Tam hedefi zararsız örneklerle doğrula; asıl metinleri ve uygulanan korumayı ayrı kaydet.