使用漏洞利用功能。我應該允許嗎？

Question

如果用戶想要一個功能，功能請求的優先級較低，但用戶發現並利用了一個允許獲得與該功能相同的結果的錯誤，我應該如何開發？我應該修復這個錯誤（並且失去一個「功能」）嗎？

注意：該錯誤不是安全威脅，也不是數據完整性威脅。

場景＃2：我們不知道用戶是否將漏洞利用作爲「功能」。同樣的問題。

Answer 1

嘛，這更是個人喜好，而不是編碼，但一個問題...

如果人們已知使用的bug /功能，並假設我們是100％肯定的bug是不是安全威脅，我會把它留在那裏，直到我可以正確實現這個功能。

我不想冒用戶使用服務的風險（即使這意味着他們不得不臨時使用bug來做他們想做的事）。

但是，如果您認爲沒有人使用該錯誤或者它可能是我的安全威脅，我會修復它。

Answer 2

我覺得這取決於。如果他們沒有惡意使用它，我會繼續讓他們使用漏洞利用，然後確保只要實際實現了該功能，就可以確保它與漏洞利用的工作方式相似，同時保持用戶安全，避免崩潰和喜歡。

我的意思是，如果我一直在使用漏洞啓用某項功能，並且突然間我不能使用我一直在做的任何工作，我都會感到沮喪。此外，當然，一定要告訴用戶，漏洞利用已被修復，並且每當您執行操作時都會替換爲某項功能。

Answer 3

我認爲你有兩個選擇： 選項1： 通過對bug進行良好的研究，確保該bug不是安全威脅或數據完整性威脅。如果您發現使用該漏洞確實沒有風險，您可以使用它，也可以進一步開發以獲得良好的用戶體驗。

選項2：禁用它以您想要的方式開發並釋放它。