下火になってるようですが、以前SQLインジェクションが話題になっていました。
浸透していると思っていたのですが、耳を疑う事を聞いてしまいました。
得意先マスタの一覧を表示する画面でのこと。データ抽出条件が,住所項目で指定できるという,よくあるパターンです。
sql = " select fld1,fld2,fld3 from 得意先マスタ where 住所 Like =' " + textbox1.text.trim + "'"
といった感じでコーディングされてます。
当然、インジェクションが起るので、ダメ出しをしたのですが、話が通じません。
当人側の主張は, 「インジェクション問題は聞いたことはあるが、それはWebアプリの問題で,このシステムはクラサバシステムだから無関係でしょ」でした。
??? そういう問題? (ビジネス処理に,Webもクラサバも無関係だろう!!..気持ちは抑えて)
なぜ危ないか説明したのですが、危険性の理解は得られたが、「ユーザーはそんな入力する知識はないし,可能性も少ないので考慮するのは不要
パラメータクエリで実装するのは手間, 文字列加算で実装したほうが直感的で楽」でした。
??? それでいいの?
最近、こんな事例によく出くわします。「バグは発覚しなければ良いので、潰すのはそれからだ」という考えを垣間見た気がして不満感一杯。
これもモラルの低下か!! と思うのは私が年代物になったからなのだろうか。