Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Инцидент с безопасностью GitHub подчеркнул проблемы Ruby on ..., opennews (??), 05-Мрт-12, (0) [смотреть все] Затейник Их же граблями да по голове , Loooooker (ok), 19:13 , 05-Мрт-12, (5) +12 // Security circus, как говаривал один американский швед финского происхождения , Andrey Mitrofanov (?), 19:21 , 05-Мрт-12, (6) операться надо на многократно проверенное, а не на удобное , Аноним (-), 20:05 , 05-Мрт-12, (8) –4 // на Perl, Аноним (-), 20:19 , 05-Мрт-12, (12) +1 // Причем тут это Разрабы поленились написать код Разница, какой язык Никакой , kuraga (ok), 20:52 , 05-Мрт-12, (16) // Ну разве что если лень разработчиков рельсы, тогда да , Аноним (-), 07:20 , 06-Мрт-12, (45) –1 Ну А кто сказал, что она должна быть ВКЛЮЧЕНА Программист проекта САМ должен з, kuraga (ok), 18:31 , 06-Мрт-12, (80) –1 да вы че это одна строчка в модели, которая к тому-жу по умолчанию попадает, е, Аноним (-), 09:21 , 07-Мрт-12, (111) ВКЛЮЧАЕМА - значит ее можно включить, ЕСЛИ она выключена что по умолчанию это т, kuraga (ok), 21:20 , 07-Мрт-12, (113) дьявол кроется в удобстве , Аноним (-), 20:06 , 05-Мрт-12, (9) +1 // коммита в чужие проекты , Аноним (-), 22:05 , 05-Мрт-12, (29) +1 да надо было сразу в ядро комитить вот шухер то был , evgeny_t (ok), 21:18 , 05-Мрт-12, (23) // Да не, перец все правильно сделал, вкомитив фикс прямо виновникам бага Эпик лул, Аноним (-), 22:04 , 05-Мрт-12, (28) +10   // товарищь, не ленись - пользуйся головой бага нет простой косяк разработчиков г, Псто (?), 23:59 , 05-Мрт-12, (32) –5   // Добро пожаловать в матрицу Бага нет, а левые коммиты - есть Trollaface jpgКак , Аноним (-), 07:08 , 06-Мрт-12, (41) +5   Если вы не имеете представления о рельсах и о какой уязвимости здесь идёт речь, , zy (?), 12:42 , 06-Мрт-12, (58) +2   Слушайте, прыг по граблям - многофазный процесс Один кладет грабли, второй не с, Аноним (-), 16:20 , 06-Мрт-12, (73)   Бред Отключенный белый список - ровно такая же грабля, как и наоборот Целью фр, kuraga (ok), 18:35 , 06-Мрт-12, (81)   Зато более безопасная грабля Лучше пусть уж у грабель ручка будет обернута поро, Аноним (-), 23:21 , 09-Мрт-12, (117)   Да ладно, тролю напоминать про голову бесполезно Для тех кто не понял Это не ба, SLK (?), 12:55 , 06-Мрт-12, (59)   Следить, конечно, обязаны, тут они, конечно, ошиблись Но есть более приличные с, gegMOPO4 (ok), 15:01 , 06-Мрт-12, (71)   а кто вламывался-то O_Oсказали же это фича фичу можно использовать если замо, arisu (ok), 19:41 , 06-Мрт-12, (87)   Если владелец цифрового замка оставляет код 12345 хотя в инструкции к замку нас, gegMOPO4 (ok), 20:54 , 06-Мрт-12, (92)   если не написано, что незаконно 8212 то законно разве в ToS гитхаба написано, arisu (ok), 21:13 , 06-Мрт-12, (95)   А у вас на дверях написано, что нельзя входить и делать что хочется , gegMOPO4 (ok), 21:18 , 06-Мрт-12, (97)   это в законе написано в таком документе, который называется 171 Конституция , arisu (ok), 21:26 , 06-Мрт-12, (100)   Иногда - очень доходчиво написано Например как-то так http leprastuff ru d, Аноним (-), 00:03 , 10-Мрт-12, (126)   Для начала, дефолты должны быть безопасными А не так что мы разбросаем на поле , Аноним (-), 16:21 , 06-Мрт-12, (74) +2   Согласен Думаю, что всем разраобчикам ORM библиотек не только ActiveRecord и н, SLK (?), 18:25 , 06-Мрт-12, (79)   Спорно Ибо абсолютной безопасности пока нет Поэтому и безопасные по дефолту , kuraga (ok), 18:39 , 06-Мрт-12, (82)   однако мне кажется, что более верный подход 8212 делать потенциально опасные , arisu (ok), 19:42 , 06-Мрт-12, (88)   Согласен Но я считаю неправильным, если программист АПРИОРИ ПОЛАГАЕТ, что это т, kuraga (ok), 22:19 , 06-Мрт-12, (102)   натурально, не панацея но разумные умолчания ещё никому не мешали, думается , arisu (ok), 22:45 , 06-Мрт-12, (107)   Более того - сишные компилеры нынче насколько я помню умеют детектить подозрител, Аноним (-), 23:14 , 09-Мрт-12, (116)   Егор, успехов , ЫыВ (?), 21:30 , 05-Мрт-12, (24) +4 А утверждается что разработчики RoR пробакланили все и забили на багрепорт, отка, Аноним (-), 21:49 , 05-Мрт-12, (26) +7 // это не баг, анон (?), 00:41 , 06-Мрт-12, (35) –3 // Угу Это не баг, это фича На дефолтное register_globals в PHP ругаться - так , Crazy Alex (ok), 01:07 , 06-Мрт-12, (37) +6 С точки зрения хакеров и спецслужб - безусловно, фича офигительного калибра , Аноним (-), 07:09 , 06-Мрт-12, (42) +1 // Может они от того и не хотели закрывать, что им настоятельно рекомендовали , Alen (??), 09:40 , 06-Мрт-12, (49) +1 Конечно не Баг, это просто очередная такая фитча которая появляется время от вре, фклфт (ok), 09:03 , 06-Мрт-12, (48) –1 // 1 RoR ну совсем никак не относится к кернелам 2 Вы о каком кернеле О том в ко, Аноним (-), 16:23 , 06-Мрт-12, (75) Жидкий мозг у тех, кто не следит за своим кодом и документацией Сегодня это - г, kuraga (ok), 18:43 , 06-Мрт-12, (83) –1 // Честно говоря, у почти всех вебдевелов мозг довольно жидковат Как минимум по ча, Аноним (-), 23:25 , 09-Мрт-12, (118) Радостно видеть, что ещё не все мозги из России уехали за рубеж Респект мужик, Ya (??), 22:00 , 05-Мрт-12, (27) +5 // Ну ничего, вот получит рабочую визу от того же github 3, Аноним (-), 23:20 , 05-Мрт-12, (30) +3 // На колыму , Аноним (-), 23:31 , 05-Мрт-12, (31) +1 // ЩО уже и там github , hummermania (ok), 09:47 , 06-Мрт-12, (50) +3 Кстати, не из Питера он, не видел я его тут , Аноним (-), 00:05 , 06-Мрт-12, (33) +1 Ну молодец В пятницу сообщил GitHub об уязвимости, а в воскресенье уже атаковал, gegMOPO4 (ok), 00:23 , 06-Мрт-12, (34) // Такое надо фиксить моментально, вообще-то , Crazy Alex (ok), 01:05 , 06-Мрт-12, (36) +4 // Ну вот моментально и пофиксили Как только узнали С кем он там переписывался в , gegMOPO4 (ok), 11:19 , 06-Мрт-12, (51) // Вообще-то багрепорт закрыли с сообщением, что это их не касается, Alex (??), 13:24 , 06-Мрт-12, (63) http mobile opennet ru cgi-bin openforum vsluhboard cgi az post om 83432 forum, Ваня (??), 13:30 , 06-Мрт-12, (64) –1 Я вообще не понимаю, как хакер нашел уязвимость и ступанул с тем, кому писать , kuraga (ok), 22:22 , 06-Мрт-12, (103) Хотя вот тут пишут, что это он так пошутил над RoR , kuraga (ok), 22:25 , 06-Мрт-12, (104) Кто закрыл и кого не касается И причём здесь ГитХаб , gegMOPO4 (ok), 14:57 , 06-Мрт-12, (70) Если они по такому репорту - хоть в пятницу, хоть в субботу в три часа ночи hin, Crazy Alex (ok), 21:26 , 06-Мрт-12, (101) Так обeзьяны делающие RoR не придумали ничего умнее как просто закрыть баг Ну е, Аноним (-), 07:13 , 06-Мрт-12, (43) +2 // в общем да, всё логично раз это не баг, то какая проблема в том, что человек ис, arisu (ok), 07:18 , 06-Мрт-12, (44) +3 // Вот именно, Капитан В этом и состоит комизм ситуации , Аноним (-), 07:31 , 06-Мрт-12, (46) ну, я на всякий случай расшифровал Кэп я или нет надо ж реноме поддерживать , arisu (ok), 07:35 , 06-Мрт-12, (47) +1 Спасибо, Капитан , Аноним (-), 16:24 , 06-Мрт-12, (76) А при чём здесь RoR Взломал он GitHub Где ссылка на репорт в багтрекере ГитХаб, gegMOPO4 (ok), 11:24 , 06-Мрт-12, (52) // Поручик Ржевский приехал к Безухову, но не застал того дома Может в рояль наср, Ваня (??), 13:11 , 06-Мрт-12, (62) –2 Ваня, надо быть скромнее , Аноним (-), 00:04 , 09-Мрт-12, (114) И вытаскивать дерьмо из карманов, когда выходите в свет , Аноним (-), 00:08 , 09-Мрт-12, (115) а бага нет авторы RoR сказали, что это вообще не баг а раз не баг 8212 это , arisu (ok), 19:05 , 06-Мрт-12, (84) Баг не в самом RoR, а в GitHub Если программист на PHP напишет код, допускающий, gegMOPO4 (ok), 21:10 , 06-Мрт-12, (94) +1 а гитхаб никто не трогал, например , arisu (ok), 21:14 , 06-Мрт-12, (96) Как это не трогал А новость о чём , gegMOPO4 (ok), 21:20 , 06-Мрт-12, (98) о том, что немножко пошутили над авторами RoR где в новости информация о том, ч, arisu (ok), 21:25 , 06-Мрт-12, (99) Ну он на него все равно че-т послал Та же инъекция-биекция , kuraga (ok), 22:31 , 06-Мрт-12, (105) таких 171 инъекций 187 8212 каждый первый коммит - , arisu (ok), 22:44 , 06-Мрт-12, (106) p s гитхаб он не ломал он воспользовался штатной фичей RoR, чтобы немножко улы, arisu (ok), 19:07 , 06-Мрт-12, (85) +1 Хочу заметить, что написано не просто Егором Хомяковым , а Егором Хомяковым из, chemtech (ok), 06:21 , 06-Мрт-12, (40) Безотносительно к факту, создаётся какое-то впечатление, что чувак не может внят, Аноним (-), 11:40 , 06-Мрт-12, (53) +1 // Использовал русский язык 8212 не поняли Использовал английский язык 8212 н, AlexYeCu (ok), 11:55 , 06-Мрт-12, (55) // --2 наряда вне очереди --Нэпанимаю --3 наряда вне очереди --Нэпанимаю --5 на, Andrey Mitrofanov (?), 12:03 , 06-Мрт-12, (56) В Арче, оказывается, тоже есть страшный баг Установка по-умолчанию не включает , Аноним (-), 14:40 , 06-Мрт-12, (69) // Зачем iptables на десктопной системе Или к чему это было написано , Аноним (-), 15:23 , 06-Мрт-12, (72) –1 // Мля, даже в домохозяечной win xp какое-то подобие файрвола и то есть Такого от , Аноним (-), 16:27 , 06-Мрт-12, (77) // потому что без файрвола винда похожа не просто на решето, а на решето без сита , arisu (ok), 19:50 , 06-Мрт-12, (89) Там файрвол такой, конечно умеет только на вход и правила примитивные как топ, Аноним (-), 23:46 , 09-Мрт-12, (122) Назови хоть один случай когда нужно оперировать правилами iptables на десктопной, Аноним (-), 19:52 , 06-Мрт-12, (90) А легко Допустим хочу я раздать интернет с 3G свистка в ноуте по вайфаю несколь, Аноним (-), 23:33 , 09-Мрт-12, (119) в юниксе файр нужен, чтобы закрывать входы, чтобы не пропустить вторжениев венде, Клыкастый (ok), 23:05 , 06-Мрт-12, (110) Итак, если какой-то умник пустит злобный скан на порт 22 и начнет откровенно бру, Аноним (-), 23:35 , 09-Мрт-12, (120) да на здоровье , arisu (ok), 23:40 , 09-Мрт-12, (121) Я что-то не уверен что его пропрет что ремотная активность уперла его проц в пот, Аноним (-), 23:49 , 09-Мрт-12, (123) ноут с гигабитным каналом и белым ip однако , Клыкастый (ok), 13:51 , 12-Мрт-12, (127) К тому, что небезопасное поведение по-умолчанию, о котором упомянуто даже в офиц, Аноним (-), 17:03 , 06-Мрт-12, (78) Что самое забавное, минусуют те, кто iptables в глаза не видел Зато у них в гол, Аноним (-), 20:00 , 06-Мрт-12, (91) да, кстати ведь у github насильный https 8212 откуда уязвимость ведь всем и, arisu (ok), 19:08 , 06-Мрт-12, (86) // Не так Но http при наличии https обязан быть отрублен , Аноним (-), 23:02 , 06-Мрт-12, (108) // как же это 171 не так 187 а зачем тогда насильно впаривать https, который и, arisu (ok), 23:03 , 06-Мрт-12, (109) Кто это придумал И главное - что там такого ценного что предлагается шифровать , Аноним (-), 23:56 , 09-Мрт-12, (124) А у кого тут машина времени Релиз Ruby on Rails 3 2 вышел 20-го января , Maxim Filatov (?), 11:31 , 07-Мрт-12, (112) // У того самого хацкера, он коммит на 1000 лет вперед сделал, чтоли , Аноним (-), 23:57 , 09-Мрт-12, (125) 5,8,9,23,24,26,27,33,34,40,53,69,86,112

Сообщения

[Сортировка по времени | RSS]

	28. "В GitHub устранена уязвимость, допускающая внедрение кода в ..."	+10 +/–
	Сообщение от Аноним (-), 05-Мрт-12, 22:04
	Да не, перец все правильно сделал, вкомитив фикс прямо виновникам бага. Эпик лулз! :)
	Ответить | Правка | Наверх | Cообщить модератору

	32. "В GitHub устранена уязвимость, допускающая внедрение кода в ..."	–5 +/–
	Сообщение от Псто (?), 05-Мрт-12, 23:59
	товарищь, не ленись - пользуйся головой. бага нет. простой косяк разработчиков гитхаба с масс-ассайментс. расходимся.
	Ответить | Правка | Наверх | Cообщить модератору

	41. "В GitHub устранена уязвимость, допускающая внедрение кода в ..."	+5 +/–
	Сообщение от Аноним (-), 06-Мрт-12, 07:08
	> бага нет. Добро пожаловать в матрицу! Бага нет, а левые коммиты - есть. Trollaface.jpg > простой косяк разработчиков гитхаба с масс-ассайментс. Как я понимаю такой косяк может иметь место на еще 100500 разных сайтов и по дефолту даже средства борьбы с геморроем не активны, хотя они и есть в природе. Просто потому что разработчики фреймворка - упертые бараны. Тест бараньего лба супротив ворот однако показал что ворота попались сцуко прочные, даже закрытие бага с разбега не пробирает. > расходимся. Скатертью дорога.
	Ответить | Правка | Наверх | Cообщить модератору

	58. "В GitHub устранена уязвимость, допускающая внедрение кода в ..."	+2 +/–
	Сообщение от zy (?), 06-Мрт-12, 12:42
	>>но это уведомление было закрыто с комментарием, что ошибка находится в зоне ответственности конечных разработчиков приложений на Ruby on Rails. Если вы не имеете представления о рельсах и о какой уязвимости здесь идёт речь, то не нужно нести чепухи. В наличии уязвимости виноваты только разработчики гитхаба так как в документации по mass-assignment чёрным по белому написано что по умолчанию работает стратегия чёрного списка, другое дело что всякие быдлокодеры не читают эту документацию. Теперь разработчики рельсов сделают что бы по умолчанию была включена стратегия белого списка, и все эти разработчики из за своей тупости получат кучу гемороя в види прописывания attr_accessible для нужных моделей, но они заслужили этого гемороя. Я к тому что если разработчик читал документацию, и писал правильно, то у него уязвмости нет. Так что это нихрена не уязвимость, а лишь потенциально опасное поведение по-умолчанию, которое превращается в уязвимость в случае тупости и криворукости разработчика которому лень было почитать документацию.
	Ответить | Правка | Наверх | Cообщить модератору

	73. "В GitHub устранена уязвимость, допускающая внедрение кода в ..."	+/–
	Сообщение от Аноним (-), 06-Мрт-12, 16:20
	> Если вы не имеете представления о рельсах и о какой уязвимости здесь > идёт речь, то не нужно нести чепухи. В наличии уязвимости виноваты > только разработчики гитхаба так как в документации по mass-assignment чёрным по > белому написано что по умолчанию работает стратегия чёрного списка, Слушайте, прыг по граблям - многофазный процесс. Один кладет грабли, второй не смотрит под ноги, третий ему шишак на лбу лечит. Вот только исходно больше всех виноват тот кто грабли на дороге бросил (разработчики RoR). Те кто под ноги не смотрел конечно тоже виноваты, ибо под ноги смотреть все-же надо. Только первых это все не извиняет. Поэтому если кто-то возжелал почесать спину граблями тому кто их бросил - так ему и надо, нефиг разбрасывать! :)
	Ответить | Правка | Наверх | Cообщить модератору

	81. "В GitHub устранена уязвимость, допускающая внедрение кода в ..."	+/–
	Сообщение от kuraga (ok), 06-Мрт-12, 18:35
	Бред. Отключенный белый список - ровно такая же грабля, как и наоборот. Целью фреймворка не было создание безопасных приложений без участия программера. И слава богу. А то вообще думать перестанем.
	Ответить | Правка | Наверх | Cообщить модератору

	117. "В GitHub устранена уязвимость, допускающая внедрение кода в ..."	+/–
	Сообщение от Аноним (-), 09-Мрт-12, 23:21
	> Бред. Отключенный белый список - ровно такая же грабля, как и наоборот. Зато более безопасная грабля. Лучше пусть уж у грабель ручка будет обернута поролоном, лбы целее будут. Особенно у инфантильных и туповатых вебдевелов, имеющих крайне смутное представление о процессе разработки софта и как это делается в нормальном виде. Если системщикам с их сями и режимами ядра где 1 факап = взвис всей системы как-то не привыкать бегать по лезвию бритвы и квалификация позволяет (когда факап будет приводить к взвису системы - вы поневоле очень быстро и эффективно научитесь писать хорошо), то вот туповатые и раздолбайские вебдевелы обычно о секурити вообще в лучшем случае знают что вроде бы это где-то есть в природе, но за них все должен сделать и продумать шибко вумный фреймворк и потому им греть этим свой полугуманитарный мозг совсем не нужно. А фреймворк возьми да и выкинь им такую подставу... Не ну как бы целевую аудиторию, их скиллы и прочая наверное надо представлять и делать поправку на ветер, или где?!
	Ответить | Правка | Наверх | Cообщить модератору

	59. "В GitHub устранена уязвимость, допускающая внедрение кода в ..."	+/–
	Сообщение от SLK (?), 06-Мрт-12, 12:55
	Да ладно, тролю напоминать про голову бесполезно. Для тех кто не понял: Это не баг RoR, это баг самого GitHub. В RoR есть стандартные средства для управления доступом к mass assignment. То, что эти средства по умолчанию отключены - Ложь Разработчикам GitHub и тем кто работает с RoR просто нужно за этим следить и расставлять где надо attr_protected. Кроме того, в любом проекте на RoR можно запретить изменение полей ActiveRecord через mass assignment как для любого класса в отдельности так и глобально. Читаем еще раз .... "За два дня до инцидента Егор оставил уведомление о найденной им уязвимости для разработчиков проекта Ruby on Rails, но это уведомление было закрыто с комментарием, что ошибка находится в зоне ответственности конечных разработчиков приложений на Ruby on Rails." Егору +1000. Такой проект как GitHub обязан следить за безопасностью, тем более, что все эти фичи в RoR очень хорошо документированы.
	Ответить | Правка | К родителю #32 | Наверх | Cообщить модератору

	71. "В GitHub устранена уязвимость, допускающая внедрение кода в ..."	+/–
	Сообщение от gegMOPO4 (ok), 06-Мрт-12, 15:01
	Следить, конечно, обязаны, тут они, конечно, ошиблись. Но есть более приличные способы указать на слабость замка, чем вламываться в дом.
	Ответить | Правка | Наверх | Cообщить модератору

	87. "В GitHub устранена уязвимость, допускающая внедрение..."	+/–
	Сообщение от arisu (ok), 06-Мрт-12, 19:41
	а кто вламывался-то? O_O сказали же: это фича. фичу можно использовать. если замок разваливается в пыль от того, что рядом с ним чихнули, а производитель замка утверждает, что это фича, и замки надо оборудовать шумопоглотителями, то ок — надо так надо. только чихание возле замков становится использованием фичи, а не эксплуатированием бага, такие дела. а то может мне ещё перед каждым коммитом гитхаб за две недели предупреждать? ведь коммит у них файлы на диске меняет — вдруг и эту фичу использовать нельзя?
	Ответить | Правка | Наверх | Cообщить модератору

	92. "В GitHub устранена уязвимость, допускающая внедрение..."	+/–
	Сообщение от gegMOPO4 (ok), 06-Мрт-12, 20:54
	Если владелец цифрового замка оставляет код 12345 (хотя в инструкции к замку настоятельно советуют его сменить, но кто ж читает инструкции?), это вина владельца замка, или производителя? И если кто-то попробовал эту комбинацию на чужом замке и она подошла, то законно ли ему после этого проникать в дом?
	Ответить | Правка | Наверх | Cообщить модератору

	95. "В GitHub устранена уязвимость, допускающая внедрение..."	+/–
	Сообщение от arisu (ok), 06-Мрт-12, 21:13
	если не написано, что незаконно — то законно. разве в ToS гитхаба написано, что нельзя заходить в проекты, к которым есть открытый доступ и делать там что хочется?
	Ответить | Правка | Наверх | Cообщить модератору

	97. "В GitHub устранена уязвимость, допускающая внедрение..."	+/–
	Сообщение от gegMOPO4 (ok), 06-Мрт-12, 21:18
	А у вас на дверях написано, что нельзя входить и делать что хочется?
	Ответить | Правка | Наверх | Cообщить модератору

	100. "В GitHub устранена уязвимость, допускающая внедрение..."	+/–
	Сообщение от arisu (ok), 06-Мрт-12, 21:26
	> А у вас на дверях написано, что нельзя входить и делать что > хочется? это в законе написано. в таком документе, который называется «Конституция». пожалуйста, укажи мне, где именно в Конституции написано что-то про репозитории исходных текстов. if you please.
	Ответить | Правка | Наверх | Cообщить модератору

	126. "В GitHub устранена уязвимость, допускающая внедрение..."	+/–
	Сообщение от Аноним (-), 10-Мрт-12, 00:03
	> А у вас на дверях написано, что нельзя входить и делать что хочется? Иногда - очень доходчиво написано :) Например как-то так: http://leprastuff.ru/data/img/20120213/c5cb12f12c0d1d0ccf93a...
	Ответить | Правка | К родителю #97 | Наверх | Cообщить модератору

	74. "В GitHub устранена уязвимость, допускающая внедрение кода в ..."	+2 +/–
	Сообщение от Аноним (-), 06-Мрт-12, 16:21
	> что все эти фичи в RoR очень хорошо документированы. Для начала, дефолты должны быть безопасными. А не так что мы разбросаем на поле мины и честно вывесим табличку "осторожно, мины!" (а кто не увидел табличку - сам дурак!)
	Ответить | Правка | К родителю #59 | Наверх | Cообщить модератору

	79. "В GitHub устранена уязвимость, допускающая внедрение кода в ..."	+/–
	Сообщение от SLK (?), 06-Мрт-12, 18:25
	Согласен. Думаю, что всем разраобчикам ORM библиотек (не только ActiveRecord и не только в Ruby) где есть возможность делать mass assignment полей обьекта, нужно об этом позаботиться. Таких не мало ... есть PHP ActiveRecord, есть ASP.NET MVC, в Java скорее всего тоже есть ORM-ы с такой возможностью ... везде свои настройки по умолчанию и соответственно опасность mass assignment.   К примеру в DataMapper (альтернативная ORM библиотека на Ruby) по умолчанию все поля обьявленные ключевыми не возможно изменить через mass assignment, только через геттеры\сеттеры.
	Ответить | Правка | Наверх | Cообщить модератору

	82. "В GitHub устранена уязвимость, допускающая внедрение кода в ..."	+/–
	Сообщение от kuraga (ok), 06-Мрт-12, 18:39
	Спорно. Ибо абсолютной безопасности пока нет. Поэтому и "безопасные по дефолту" - мнимо. "БОЛЕЕ безопасные, к ДАННОМУ виду атак" - если бы сказали так, то согласился бы. Безопасность - отсутствие возможностей :)
	Ответить | Правка | К родителю #74 | Наверх | Cообщить модератору

	88. "В GitHub устранена уязвимость, допускающая внедрение..."	+/–
	Сообщение от arisu (ok), 06-Мрт-12, 19:42
	однако мне кажется, что более верный подход — делать потенциально опасные вещи как opt-in, а не opt-out. заодно люди и документацию прочитают, пока будут искать, как их включить.
	Ответить | Правка | Наверх | Cообщить модератору

	102. "В GitHub устранена уязвимость, допускающая внедрение..."	+/–
	Сообщение от kuraga (ok), 06-Мрт-12, 22:19
	Согласен. Но я считаю неправильным, если программист АПРИОРИ ПОЛАГАЕТ, что это так. Хотя бы потому, что потенциально опасно все. Вспомните Си и баги ядра с "=", "=="... Не запретишь ведь...
	Ответить | Правка | Наверх | Cообщить модератору

	107. "В GitHub устранена уязвимость, допускающая внедрение..."	+/–
	Сообщение от arisu (ok), 06-Мрт-12, 22:45
	натурально, не панацея. но разумные умолчания ещё никому не мешали, думается.
	Ответить | Правка | Наверх | Cообщить модератору

	116. "В GitHub устранена уязвимость, допускающая внедрение..."	+/–
	Сообщение от Аноним (-), 09-Мрт-12, 23:14
	> натурально, не панацея. но разумные умолчания ещё никому не мешали, думается. Более того - сишные компилеры нынче насколько я помню умеют детектить подозрительные места такого плана и выкидывают по этому поводу варнинг. Что в общем то есть правильно, ибо присвоение в условии - странная конструкция. Придумать ей применение кроме как для раскидывания грабель довольно сложно.
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема