Hello World
" // Nota: Detecta qualquer HTML, cuidado "This is safe text" ``` --- ### Path Traversal Detecta: - Sequences `../` (relative paths) - URL-encoded: `%2e%2e` (`.` URL-encoded) ```typescript // ❌ Bloqueado "../../../etc/passwd" "..%2f..%2fetc%2fpasswd" // ✅ Permitido "/home/user/documents" "./relative/path" ``` --- ### Command Injection Detecta: - Caracteres de shell: `;`, `&`, `|`, `` ` ``, `$()`, `()` - Comandos de sistema: `bash`, `sh`, `cmd`, `powershell`, `exec`, `system`, `eval` ```typescript // ❌ Bloqueado "file.txt; rm -rf /" "$(whoami)" "`cat /etc/passwd`" // ✅ Permitido "Just a normal string" "user@host" ``` --- ## 📊 Limites de Recursos ```typescript interface ResourceLimits { maxMemoryMB: number; // Limite de memória heap maxCpuPercent: number; // Limite de CPU maxRequestsPerMinute: number; // Taxa de requisições maxExecutionTimeMs: number; // Tempo máximo de execução maxFileUploadMB: number; // Tamanho máximo de upload } ``` **Padrões:** ```typescript { maxMemoryMB: 512, maxCpuPercent: 80, maxRequestsPerMinute: 100, maxExecutionTimeMs: 30000, // 30 segundos maxFileUploadMB: 50 } ``` --- ## 🔐 Configuração de Validação ```typescript interface ValidationConfig { enableSQLCheck: boolean; // Habilitar SQL injection check enableXSSCheck: boolean; // Habilitar XSS check enablePathTraversal: boolean; // Habilitar path traversal check enableCommandInjection: boolean; // Habilitar command injection check customPatterns: RegExp[]; // Padrões customizados } ``` **Padrão:** ```typescript { enableSQLCheck: true, enableXSSCheck: true, enablePathTraversal: true, enableCommandInjection: true, customPatterns: [] } ``` --- ## 💻 Exemplos de Uso ### Exemplo 1: Validar Entrada de Usuário ```typescript import { createGuardrailSkill } from './skills/guardrail'; const guardrail = createGuardrailSkill(); // Usuário submete um formulário const userInput = req.body.search; const validation = await guardrail.validateInput(userInput); if (!validation.isValid) { return res.status(400).json({ error: 'Input validation failed', violations: validation.violations, }); } // Continuar processamento db.query(`SELECT * FROM products WHERE name LIKE '%${userInput}%'`); ``` --- ### Exemplo 2: Rate Limiting por Usuário ```typescript const guardrail = createGuardrailSkill({ maxRequestsPerMinute: 50, }); // Middleware Express app.use(async (req, res, next) => { const userIdentifier = req.user?.id || req.ip; const allowed = guardrail.checkRateLimit(userIdentifier); if (!allowed) { return res.status(429).json({ error: 'Too many requests', retryAfter: 60, }); } next(); }); ``` --- ### Exemplo 3: Monitorar Saúde do Sistema ```typescript const guardrail = createGuardrailSkill({ maxMemoryMB: 512, maxExecutionTimeMs: 30000, }); // Health check endpoint app.get('/health', async (req, res) => { const resources = guardrail.checkResourceLimits(); const status = guardrail.getStatus(); if (!resources.within) { return res.status(503).json({ status: 'unhealthy', reason: 'Resource limits exceeded', usage: resources.usage, }); } res.json({ status: 'healthy', guardrail: status, }); }); ``` --- ### Exemplo 4: Padrões Customizados ```typescript const guardrail = createGuardrailSkill( {}, { customPatterns: [ /credit[\s_-]?card[\s_-]?number/i, // Detectar CC number /social[\s_-]?security[\s_-]?number/i, // Detectar SSN /password[\s_-]?field/i, // Detectar password fields ], } ); // Agora detecta padrões customizados também const validation = await guardrail.validateInput( 'please enter your credit card number' ); // validation.isValid = false ``` --- ## 🧪 Testes ```bash # Rodar testes npm test -- guardrail # Rodar com cobertura npm test -- guardrail --coverage ``` **Cobertura de testes:** - ✅ SQL Injection detection - ✅ XSS detection - ✅ Path Traversal detection - ✅ Command Injection detection - ✅ Rate limiting - ✅ Resource limits - ✅ Status tracking - ✅ Edge cases --- ## 🔧 Integração com Hub Enterprise ### Como usar no Hub Enterprise ```typescript // No orchestrator do Hub Enterprise import { createGuardrailSkill } from './skills/guardrail'; const guardrail = createGuardrailSkill(); // Antes de executar qualquer comando async function executeWithGuardrails(command: string, input: string) { // 1. Validar input const validation = await guardrail.validateInput(input); if (!validation.isValid) { throw new Error(`Security violation: ${validation.violations[0].pattern}`); } // 2. Verificar rate limit const allowed = guardrail.checkRateLimit(command); if (!allowed) { throw new Error('Rate limit exceeded'); } // 3. Verificar recursos const resources = guardrail.checkResourceLimits(); if (!resources.within) { throw new Error('Resource limits exceeded'); } // 4. Executar comando com segurança return await executeCommand(command, input); } ``` --- ## ⚠️ Limitações e Considerações 1. **False Positives**: Alguns inputs válidos podem ser bloqueados (ex: logs contendo SQL) - Solução: Use `type` parameter para validar só tipos específicos 2. **Performance**: Validação por regex pode ser lenta com muitos padrões customizados - Solução: Use menos padrões customizados, cache resultados 3. **Unicode**: Alguns padrões podem não funcionar bem com Unicode - Solução: Testar com seus casos de uso específicos 4. **CPU Monitoring**: CPU percent é simulado (não funciona em todos os SOs) - Solução: Implementar via `os.cpus()` ou APM externo --- ## 📚 Referências - [OWASP Top 10](https://owasp.org/www-project-top-ten/) - [CWE/SANS Top 25](https://cwe.mitre.org/top25/) - [Input Validation Cheat Sheet](https://cheatsheetseries.owasp.org/cheatsheets/Input_Validation_Cheat_Sheet.html) --- ## 🚀 Roadmap - [ ] Suporte a machine learning para detecção de anomalias - [ ] Integração com WAF (Web Application Firewall) - [ ] Métricas de segurança em tempo real - [ ] Dashboard de violations - [ ] Alertas por Telegram/Email - [ ] Persist violations em banco de dados --- **Desenvolvido com ❤️ para OpenClaw Aurora**