8

PHPでTwitter作成 返信機能について

この質問の回答について、「SQLインジェクションが可能でセキュリティ上の問題がある」といった通報がありました。コメントでも同様の指摘があります。

確かにFAQとして見た場合、脆弱性のある回答がプラス投票を得ていたり承認されていたりすると、(質問者も含め)見た人がそれに気づかず使ってしまうかもしれません。

こういった回答を見つけた場合、どのように対応するとよいでしょうか?

  • 見かけたらコメントで指摘、当該コードを修正、注意書きを追加、etc.
  • 指摘を受けた投稿者は、修正できない場合は削除すべきか
  • 通報を受けたモデレーターは何らかの対応を取るべきか

関連するメタ(SO|SE)投稿

6
  • 1
    当該の回答については、元々は脆弱では無いコードを誤った方向に修正し脆弱にしたもので、単純に脆弱性があるコードを投稿したというものとは性質が異なる、ということを付記させていただきます。
    – suzukis
    Commented 2015年4月22日 12:51
  • 回答を削除しました。それで大丈夫ですかね。 Commented 2015年4月22日 13:55
  • @suzukis Robbyさんは、バグの原因を指摘しただけで、回答に脆弱性はない、と言っているので、suzukisさんの言っている脆弱性がRobbyさんに伝わっていないのではないでしょうか?(違ったらすみません
    – unarist モデレーター
    Commented 2015年4月22日 13:59
  • 2
    @RobbyCornelissen そのあたりの考え方をコミュニティに尋ねる目的でこのメタ投稿を作成しました。私はたとえ脆弱性があったとしても削除までする必要はないと考えます。特に本件に関しては、あなたの回答で質問者さんの問題が解決しているのですから。
    – unarist モデレーター
    Commented 2015年4月22日 14:04
  • @unarist コメントありがとうございます。もう一回自分の答えを確認して、提案したパターンでSQLインジェクションが可能であるかないか分からなくなりましたから、削除しました。 Commented 2015年4月22日 14:11
  • 1
    何がまずかったのかについてはせっかくなので自分で質問と回答を投稿しました。質問のコードは1番目の例、回答でこのように修正すべきとされた内容は2番目の例に該当します。ja.stackoverflow.com/questions/9484
    – suzukis
    Commented 2015年4月23日 0:44

2 件の回答 2

5

コメントで「指摘の意図が伝わってないのではないか」とありますが、私もそのように認識しています。そのためコメントでの指摘では改善は期待できないと判断しましたがどう対応すべきか分からないので通報した次第です。

問題についてより詳細な指摘をするにしても、コメントでは書式の制約で不可能です。

回答で別の回答の誤りを指摘する例もありますが、今回の件についてはそもそもsprintfでSQLを組み立てるという質問者のコードにある手法自体が好ましくなくその旨を回答で指摘しています。そこでさらにsprintfの使い方の誤りを解説するのもナンセンスに感じました。

編集で「この情報は誤っている」と追記するのも乱暴な話ですので、そうすべし、という裏付けが無いとやりにくいです

個人的には明らかに誤った情報については削除した方がQ&Aリソースとしては適切ではないかとおもいます。しかし、明らかな問題であろうがコメントで指摘があればそれで十分、あとは信じた方がバカなのだ、それで被害が出ようが知ったことでは無い、とサイトポリシーとして言い切るのであればそれはそれでよいのかなとも思います。

5

本件に関して、個人的な考えを挙げておきます。

  • 見かけたらコメントで指摘、当該コードを修正、注意書きを追加、etc.

一般利用者としては、回答への反対投票(downvote)コメントで問題点を指摘 がベストだと考えます。コメント欄では書ききれない分量・内容ならば、新たに回答を追加すればよいと思います。

  • 指摘を受けた投稿者は、修正できない場合は削除すべきか

訂正可能ならば回答を修正すればよいですし、根本的に修正不能と判断したならば、回答自体を削除すればよいのではないでしょうか。内容について議論があればコメント欄がありますが、技術的に問題があるならば、(消さずに残った投稿への)反対投票は受け入れるべきです。

  • 通報を受けたモデレーターは何らかの対応を取るべきか

正直なところ、モデレーターの介入は微妙な気がします。モデレーターの役割は、あくまで人的なコミュニケーションへの介入であり、技術論への強制介入は別トラブルの元になりかねないと思っています。

2
  • 「コメント欄では書ききれない分量・内容ならば、新たに回答を追加すればよい」とのことですが、たとえば質問が難解なもので答えようがない、ただしそれが別の回答が明らかに間違っているのはわかる、という場合に、「質問には答えられないがこの回答はこれこれこういう理由で誤っている」、という回答をしてもいいのでしょうか。
    – suzukis
    Commented 2015年4月28日 0:15
  • 私個人としては、そういう回答(質問には答えていないことを断った上で他回答の問題を指摘)があっても良いとは思います。ただ、「コメント欄で書ききれない」ことが、そうそうあるとも思えませんが。
    – yohjp
    Commented 2015年4月29日 1:43

この質問に回答するには、ログインする必要があります。

求めていた回答ではありませんか? のタグが付いた他の質問を参照する。