Redis und unsichere speicherung von Keys?

[Deleted member 11691]

Hallo,

ich bin noch immer dabei, die neue Version von dontrm.org zu schreiben. Dabei ist mir aufgefallen, dass ich unter node.js mit den Redis-Client-Libs nur folgenden Befehl zum Inserten brauche:

redis.set("key", "value");

Nun, ich habe bereits aus der Redis-Website gelesen, dass ich den Value nicht zu escapen brauche, da hier ja sowieso nur 2 Parameter angegeben werden können und hier auch keine richtige Injection stattfinden kann. Schön und gut. Wie sieht es allerdings mit den Keys aus? Kann ich da einfach sagen, der Key ist "<usereingabe>:input" oder wäre das sehr unsicher bzw. gäbe es irgendwelche Nachteile für mich?

 

[d4f]

Redis.set ist als ob du in Mysql eine Stored Procedure zum Einsetzen von Daten verwendest. Escaping ist schlicht nicht notwendig da nur Inhalte eingetragen werden könnnen, keine Steuerbefehle. Falls du ein eigenes Steuerinterface zu Redis entwickeln würdest müsstest du dich darum kümmern (dann wäre es wie vollwertige SQL-Kommandos)

Der Key kann alles sein was Redis verkraften kann (also ziemlich viel). Sehr lange Keys verursachen aber ein paar Prozent weniger Leistung bei O(1) Operationen wie GET