「Web制作者の常識、開発エンジニアの常識」記事へのコメント

技術者でも大丈夫か?

[Anonymous Coward]

SQLインジェクションも知らないでWebサイト作成に関わるなんてあり得ないと思うんですが…(静的ページのみとしても、仕切るだけとしても)

旧来のOSなどアプリケーションの作成に詳しい方でも、Web技術にあまり詳しくない方がプロジェクトを仕切ると、Webサイトがちゃんと動くか、見た目は大丈夫か?のテストしかしないみたいなことがあったのですが、腕のある技術者でも大丈夫かなぁと思うことがしばしば。

Re:技術者でも大丈夫か?

[TarZ (28055)]

SQLインジェクション脆弱性の有無と、「Webかどうか」は直接は関係ないです。従来のC/Sアプリケーションでも
あり得た問題です。ここが、XSS脆弱性などと大きく異なるところ。
（Webによって、SQLインジェクションの影響がより広範囲かつ深刻になった、という事情はありますが）

なので、「旧来のOSなどアプリケーションの作成に詳しい方」であれば、仮に「Web技術にあまり詳しくない」と
してもSQLインジェクションは知っているはずで、すなわち「Webサイトがちゃんと動くか」の確認内容にSQL
インジェクションの有無の確認も入って

Re:技術者でも大丈夫か?

[Anonymous Coward]

>　「それは制限です」

程度ならいいのですが、CSで育った技術者の中には、SQL Injectionを指摘すると「何を気にしてるの？」と馬鹿にする向きもありますよ。

曰く
　「『その文字は入れないでください』とか言えばいいだけでしょ。」
　「悪意をもっているなら法律で対処可能だから気にする必要はありません」
　「工数を増すの？　仕事なんだよ。ちゃんと考えたら？」
と。

# いまだに見る問題なのでAC

Re:技術者でも大丈夫か?

[Anonymous Coward]

新規開発された社内Webシステムにログインしたところ、
テーブル名らしき日本語(もちろんエスケープされていない）が含まれたアンカーリンクを発見して、
しかもそのテーブル名が間違っており、違う部署の情報が表示されたというのを見たところがあります。

どういう外注に発注したかはしらんが、作るほうも、発注する方もスキルがなさすぎ。

はずかしすぎるので、絶対AC