質問: PHPでTwitter作成 返信機能について この質問の回答について、「SQLインジェクションが可能でセキュリティ上の問題がある」といった通報がありました。コメントでも同様の指摘があります。 確かにFAQとして見た場合、脆弱性のある回答がプラス投票を得ていたり承認されていたりすると、(質問者も含め)見た人がそれに気づかず使ってしまうかもしれません。 こういった回答を見つけた場合、どのように対応するとよいでしょうか? * 見かけたらコメントで指摘、当該コードを修正、注意書きを追加、etc. * 指摘を受けた投稿者は、修正できない場合は削除すべきか * 通報を受けたモデレーターは何らかの対応を取るべきか ### 関連するメタ(SO|SE)投稿 * How to deal with questions/answers with a security vulnerability? * How to deal with highly voted answers with security vulnerabilities? * How to Warn of Serious Issues in Code Unrelated to Question?
回答: コメントで「指摘の意図が伝わってないのではないか」とありますが、私もそのように認識しています。そのためコメントでの指摘では改善は期待できないと判断しましたがどう対応すべきか分からないので通報した次第です。 問題についてより詳細な指摘をするにしても、コメントでは書式の制約で不可能です。 回答で別の回答の誤りを指摘する例もありますが、今回の件についてはそもそもsprintfでSQLを組み立てるという質問者のコードにある手法自体が好ましくなくその旨を回答で指摘しています。そこでさらにsprintfの使い方の誤りを解説するのもナンセンスに感じました。 編集で「この情報は誤っている」と追記するのも乱暴な話ですので、そうすべし、という裏付けが無いとやりにくいです 個人的には明らかに誤った情報については削除した方がQ&Aリソースとしては適切ではないかとおもいます。しかし、明らかな問題であろうがコメントで指摘があればそれで十分、あとは信じた方がバカなのだ、それで被害が出ようが知ったことでは無い、とサイトポリシーとして言い切るのであればそれはそれでよいのかなとも思います。