Исходное сообщение
"bind" Отправлено Cobold, 17-Июн-10 16:13
вот тут-то как раз собака и порылась - если использовать биндинг то параметры всегда экранированы, совсем без участия разработчика, а если полагаться на экранирование "по ходу", то разработчик постоянно должен об этом думать (будто ему больше заняться нечем). В проекте с тысячами запросов это просто нереально, будь программисты хоть абсолютные педанты, кто угодно может забыть или просмотреть что-то. И случается это часто как раз в таких местах где визуально не сразу и заметишь, так что полагаться на то что другие коллеги обнаружат тоже нельзя. Поэтому такие дыры лучше ищутся автоматизированно, но тогда это уже аудит называется и стоит отдельно. Или жить с риском что кто-нибудь сделает это за тебя, но только тогда этот кто-то может отверстием сразу и попользоваться. А оно надо, весь этот гемморой?

Ваше сообщение
Имя*:
EMail:	Для отправки ответов на email укажите знак ! перед адресом, например, !user@host.ru (!! - не показывать email). Более тонкая настройка отправки ответов производится в профиле зарегистрированного участника форума.
Заголовок*:
Сообщение*:	> вот тут-то как раз собака и порылась - если использовать биндинг то > параметры всегда экранированы, совсем без участия разработчика, а если полагаться на > экранирование "по ходу", то разработчик постоянно должен об этом думать (будто > ему больше заняться нечем). В проекте с тысячами запросов это просто > нереально, будь программисты хоть абсолютные педанты, кто угодно может забыть или > просмотреть что-то. И случается это часто как раз в таких местах > где визуально не сразу и заметишь, так что полагаться на то > что другие коллеги обнаружат тоже нельзя. Поэтому такие дыры лучше ищутся > автоматизированно, но тогда это уже аудит называется и стоит отдельно. Или > жить с риском что кто-нибудь сделает это за тебя, но только > тогда этот кто-то может отверстием сразу и попользоваться. А оно надо, > весь этот гемморой?
	Введите код, изображенный на картинке: