04/01/21 17:56
>>393
予見できないのは開発者の怠慢。
一般的な使い方しか想定できないなら、子供向けのハサミの刃先を丸くできるはずがない。
セキュリティに関係するなら、少なくともサーバ屋ならそれくらいのリスクを検証するべき。
つまりテストが不完全だったということに他ならない。
テストしてないから予想できませんでした、なんて言い訳は通らないよ。
少なくともコマンドインジェクションやSQLインジェクション、XSS脆弱性などの既知の手法で
汚染された入力値の危険性は公知のもの。それに対して適切な処置を取らなかっただけ。