完成了第九章第二小节的一部分

9.2.md

@@ -1,4 +1,22 @@
 ##9.2 确保输入过滤 
+用户数据的过滤是Web应用安全的基础。它是你验证数据合法性的过程。通过在输入时确认对所有的数据进行过滤，这样就可以避免攻击的数据在你的程序中被误信及误用。大多数Web应用的漏洞最终都是因为没有对用户输入进行恰当过滤造成的。
+
+这里所指的过滤数据是指三个不同的步骤：
+
+- 识别数据，搞清楚需要过滤的数据来自于哪里
+- 过滤数据，弄明白我们需要怎么样的数据
+- 区分已过滤及被污染数据，保证如果存在攻击数据那么过滤之后可以让我们使用更安全的数据
+
+##识别数据
+我把识别输入作为第一步是因为如果你不知道它是什么，来自于哪里，你也就不能正确地过滤它。输入是指所有源自外部的数据。例如，所有来自客户端的数据是输入，但客户端并不是唯一的外部数据源，其它如数据库和第三方提供的接口数据等也是外部数据源。
+
+由用户输入的数据我们通过Go非常容易识别，Go通过`ParseForm`之后，把用户POST和GET的数据全部放在了`r.Form`里面。其它的输入要难识别得多，例如，`r.Header`中的很多元素是由客户端所操纵的。常常很难确认其中的哪些元素组成了输入，所以，最好的方法是把整个map看成用户输入。
+
+##过滤数据
+在知道数据来源之后，就可以过滤它了。过滤是一个有点正式的术语，它在平时表述中有很多同义词，如验证、清洁及净化。尽管这些大家平时所用的术语稍有不同，但它们都是指的同一个处理：防止非法数据进入你的应用。
+
+
+##区分过滤数据
 
 ## links
    * [目录](<preface.md>)