Detect parsing method from while list

[tonyseek]

The white list could protect us from injection attacking.

@lepture Please review it. Thanks.

[lepture]

@tonyseek 如何 injection?

func = getattr(self, 'parse_%s' % msg_type)

这个可以保证了呀。我本意是想让它更容易扩展，添加一个 type 时，只用再加一个 parse_xxx 就好了，不用再维护一个列表了。

[tonyseek]

@lepture 能导致安全问题的方式我没想到，但是如果 msg_type 是预期以外的也足以引起 AttributeError 导致服务器端 500 而不是 400。其实我最开始的修改是前置了 if msg_type in ('text', ...) 的判断，后来觉得这样反而不如显式列出支持的 type 到 parse_xxx 的映射。况且字节串远不止两百多个 ASCII，隔离反射类接口和用户输入可以把将来变更中带入潜在风险的可能性降到最小。

如果你希望不维护列表而用 getattr(self, 'parse_%s' % msg_type) 这种写法，我也可以改回去，变成 getattr(self, 'parse_%s' % msg_type, None) 以避免 AttributeError。但我个人更倾向多维护一个列表避免带入一些需要主动记忆的假设。

怎么看呢 →_→

[qingfeng]

也可以考虑捕获AttributeError，然后做一些反馈，这样就不用500了

[tonyseek]

@qingfeng 哇，清风老师…

觉得捕获异常 AttributeError 有个小问题，就是这个异常可能是从下层调用（比如 parse_xxx 里面）抛出来的，这样也许会造成 parse_xxx 本身不存在的误解……

（其实觉得捕获 ImportError 证明模块不存在、对一个非内置函数调用捕获 KeyError 都有类似的问题）

[lepture]

@tonyseek getattr(self, 'parse_%s' % msg_type, None) 这种吧。

[tonyseek]

@lepture 现在呢？