потенциальная опасность

Александр Петросян (PAF) 02.10.2003 11:27

@create[name]
^process{…$name…}

даю два зуба на то, что через полгода кто-нибудь, а вовсе не вы сами, передаст в эту функцию что-то, пришедшее от пользователя.

вывод:
1. избегать подобного, если возможно. [покажите мне, где невозможно, обсудим]
2. если уж так хочется: очищать эти данные.

уже думал об этом какое-то время назад: вполне могу заткнуть эту потенциальную дыру: можно объявить, что
«нельзя process-ить строки с tainted кусками»:
в ^process можно проверить, что часть кода пришла от пользователя, и… выдать соответствующую ошибку.

лично я: за.
однако, уверен, есть и другие мнения :)

---