アカウント名:
パスワード:
「開発チームのメンバー全員がセキュアプログラミング技術のトレーニングを適切に受けていることを確証する責任を負」っているからと言って、実際そう作られるかというのは別問題ですよね？
マジレスすると、以前委託したECサイトのテスト中、入力項目にfontタグ入れてみたら見事に文字が赤くなったり大きくなったり。。。
なんでサニタイズせんのじゃ～～！と委託先にクレームあげたら「最初に言え！」とか開き直られました。「んなもん、常識だろうが！」とこっちも吠え返して、社内にあったWEBプログラミングのテキストからXSSだのSQLインジェクションへの対策のページを送りつけてやりました。
こういうのって、要求仕様に明記しないといけないのでしょうか？呼吸するように実装してくれないと、発注側としては安心できないのですが。
スラドらしい開発する側からの視点で一杯批判レス付いてるけどさ、ちょっとそれでいいのかという気が・・・。 俺も開発する側の人間なので、確かに要件に無いものなんてほいほい作らされてたまるか！という自己防衛の気持ちはあるんだけど、これだけセキュリティが問題になっている昨今、XSSやSQLインジェクションの対策をしないって言うのは、
「注文住宅を作ってください、こういう間取りでこんな感じでお願いします。」 ↓ 「はい、できましたよ。ご注文いただいたとおりの間取りになっていると思います。」 ↓ 「あー確かに私の要望どおりですねー・・・あれ？玄関にも窓にも鍵がないんですけど！？」 ↓ 「え？そんな話聞いてないですよ？ そんなの常識だ？ 言いがかりはよしてくださいよ、あなたの考慮漏れですよね？ 追加で対応することはできますが、後からだとちょっとお値段がかさんじゃうんですよねー？」
っていうレベルの話になっているんでは？ 鍵の付け方を知らない会社や自称エンジニアが世の中に大勢居るからと言って、いつまでもこの回答が世間に通じるとは思えないのですが。 そのうち、法律で一定のセキュリティ要件を満たしてないWebシステムは提供してはいけない、ってことにさえなりそうな気がします。
＃ いやむしろ、そういう基準があったほうが、開発側としても幸せなんだけど。
理想的には受注側が契約前に仕様の不備を指摘して両者で協議できればいいんですけどねえ。
少なくとも、これは、プログラマーの責任じゃなくて、上流設計での問題ですね。上流が仕事サボって「常識だろう」とか言い出したら、プログラマーは怒ってよい。もちろん、ツッコミ返してもいいけど、それだったら、その人が仕様書作ればいいのだし。
注文住宅なら戸締りも比較的当たり前（とは言ったって、鍵だってピンキリだから暗黙につけたって絶対顧客の暗黙の要望と合うわけがない）かもしれないが、「倉庫」や「車庫」に置き換えたら全く当たり前ではなくなる。暗黙でつけたら「あ、戸締りもできるようにしてくれたの？サービスしてくれたのね。」で終わりかもしれないし、「なんでこんなチャチな鍵なんだ、ふざけんな馬鹿野郎！」かもしれない。
そもそも、最初の要件書（あるいは契約締結まででもいいが）の段階で、『（建物で言えば）一般的な防犯対策が施されていること』＝『（Webサイトで言えば）一般的なセキュリティを備えていること』と書くくらいは発注側でもできるだろう。それから契約締結までに具体的な内容を詰めればいいだけのこと。
大体、契約内容に入ってなければ、文句は言えない。注文建築だって、建物の契約時には図面のチェックぐらいするだろ？
契約締結までに提案してくれなかったことに対して文句をいっているのなら、相手を見る眼がなかったことを嘆くべき。
倉庫にも車庫にも鍵ついていると思う。
> 相手を見る眼がなかったことを嘆くべき。
嘆いてる話じゃなかったっけ？
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
人生unstable -- あるハッカー
結局契約と金次第 (スコア:0)
「開発チームのメンバー全員がセキュアプログラミング技術のトレーニングを適切に受けていることを確証する責任を負」っているからと言って、実際そう作られるかというのは別問題ですよね？
Re: (スコア:3, 興味深い)
マジレスすると、以前委託したECサイトのテスト中、入力項目にfontタグ入れてみたら
見事に文字が赤くなったり大きくなったり。。。
なんでサニタイズせんのじゃ～～！と委託先にクレームあげたら「最初に言え！」とか
開き直られました。「んなもん、常識だろうが！」とこっちも吠え返して、社内にあった
WEBプログラミングのテキストからXSSだのSQLインジェクションへの対策のページを
送りつけてやりました。
こういうのって、要求仕様に明記しないといけないのでしょうか？
呼吸するように実装してくれないと、発注側としては安心できないのですが。
玄関に鍵を付けるなんて要件なかった (スコア:0)
スラドらしい開発する側からの視点で一杯批判レス付いてるけどさ、ちょっとそれでいいのかという気が・・・。
俺も開発する側の人間なので、確かに要件に無いものなんてほいほい作らされてたまるか！という自己防衛の気持ちはあるんだけど、これだけセキュリティが問題になっている昨今、XSSやSQLインジェクションの対策をしないって言うのは、
「注文住宅を作ってください、こういう間取りでこんな感じでお願いします。」
↓
「はい、できましたよ。ご注文いただいたとおりの間取りになっていると思います。」
↓
「あー確かに私の要望どおりですねー・・・あれ？玄関にも窓にも鍵がないんですけど！？」
↓
「え？そんな話聞いてないですよ？ そんなの常識だ？ 言いがかりはよしてくださいよ、あなたの考慮漏れですよね？
追加で対応することはできますが、後からだとちょっとお値段がかさんじゃうんですよねー？」
っていうレベルの話になっているんでは？
鍵の付け方を知らない会社や自称エンジニアが世の中に大勢居るからと言って、いつまでもこの回答が世間に通じるとは思えないのですが。
そのうち、法律で一定のセキュリティ要件を満たしてないWebシステムは提供してはいけない、ってことにさえなりそうな気がします。
＃ いやむしろ、そういう基準があったほうが、開発側としても幸せなんだけど。
Re:玄関に鍵を付けるなんて要件なかった (スコア:2)
カタログに載っているようなドアだと通常鍵はついていますが、
木工職人に木材からドアを作ってくれと依頼した場合、鍵を指定しないと
鍵なしになるような・・・
なので、特に何も言わなくても期待しているものが一通りそろってることを
求めるならパッケージを買いましょう。
Re: (スコア:0)
Re:玄関に鍵を付けるなんて要件なかった (スコア:2)
Re:玄関に鍵を付けるなんて要件なかった (スコア:1)
理想的には受注側が契約前に仕様の不備を指摘して両者で協議できればいいんですけどねえ。
Re: (スコア:0)
少なくとも、これは、プログラマーの責任じゃなくて、上流設計での問題ですね。上流が仕事サボって「常識だろう」とか言い出したら、プログラマーは怒ってよい。もちろん、ツッコミ返してもいいけど、それだったら、その人が仕様書作ればいいのだし。
Re: (スコア:0)
Re: (スコア:0)
注文住宅なら戸締りも比較的当たり前（とは言ったって、鍵だってピンキリだから暗黙につけたって絶対顧客の暗黙の要望と合うわけがない）かもしれないが、「倉庫」や「車庫」に置き換えたら全く当たり前ではなくなる。暗黙でつけたら「あ、戸締りもできるようにしてくれたの？サービスしてくれたのね。」で終わりかもしれないし、「なんでこんなチャチな鍵なんだ、ふざけんな馬鹿野郎！」かもしれない。
そもそも、最初の要件書（あるいは契約締結まででもいいが）の段階で、『（建物で言えば）一般的な防犯対策が施されていること』＝『（Webサイトで言えば）一般的なセキュリティを備えていること』と書くくらいは発注側でもできるだろう。それから契約締結までに具体的な内容を詰めればいいだけのこと。
大体、契約内容に入ってなければ、文句は言えない。
注文建築だって、建物の契約時には図面のチェックぐらいするだろ？
契約締結までに提案してくれなかったことに対して文句をいっているのなら、相手を見る眼がなかったことを嘆くべき。
Re: (スコア:0)
倉庫にも車庫にも鍵ついていると思う。
> 相手を見る眼がなかったことを嘆くべき。
嘆いてる話じゃなかったっけ？