作者LeonH (Leon)
看板Soft_Job
标题Re: [心得] 花了很多时间重构却被打枪用旧code
时间Fri Oct 3 20:59:28 2025
我来响应一下，要怎麽说服工程团队领导重构
拿安全性压他，资安这东西，大家都懂，但大家也都不专业
旧架构要嘛运行的环境有已知漏洞、要嘛依赖套件有已知漏洞
去 CVEdetails.com 查一下，整理一下已知漏洞高危清单
用魔法对付魔法，「不改的话有问题你要负责吗？」
保证没人敢挺身说我负责，就这样，改善软体供应链的同时，顺便重构。
如果有人敢挺身而出，那恭喜，以後背锅侠就是他了。
--
※ 发信站: 批踢踢实业坊(ptt.cc), 来自: 49.214.0.71 (台湾)
※ 文章网址: https://webptt.com/cn.aspx?n=bbs/Soft_Job/M.1759496370.A.FEC.html
1F：→ kissmickey: 重构完 经得黑白箱还是其他资安手段吗 别人也是可以这 10/03 21:55
2F：→ kissmickey: 样玩 10/03 21:55
3F：→ infinitlee: 重构跟资安没有一定相关。重构之後还是会有cve问题 10/03 21:57
4F：→ infinitlee: 如果你讲的是黑白箱，还比较站的住脚 10/03 21:59
5F：→ nh60211as: 改的话有问题你要负责吗 10/03 22:13
6F：→ DrTech: 这是挖洞给自己跳吧。到时候有安全问题变成修改的哪个人。 10/03 22:13
7F：→ DrTech: 未来有任何CVE变成你要修。 10/03 22:13
8F：→ rotalume: 这个不用等重构完，换Business问你feature坏了你扛吗 10/03 22:37
9F：→ brucetu: 改了 有问题你负责 结果你只是基层 负不了责 还不是老大 10/03 23:19
10F：→ brucetu: 说了算 天真 10/03 23:19
11F：嘘 pttano: 修补漏洞ㄧ定要重构？你工作了没大学生 10/04 07:25
12F：推 s78513221: 台湾的资安是拿来检查的 10/04 08:39
13F：推 lonelytea: 会发这篇的感觉雷包 10/04 09:54
14F：推 ILoveAMD: 资安跟重构的关系是？ 10/04 11:58
15F：推 abc0922001: 真是屁话，如果改了出问题，刚好麻烦你负责罗 10/04 18:46
16F：→ dildoe: 对啊高装检资安 连主管机关一看都有自己违反自己下规定 10/05 07:56
17F：→ dildoe: 呵呵 如果客户 外部没反应问题一般都当作没事 而且还要确 10/05 07:56
18F：→ dildoe: 定要修改部分有资安问题当重构理由 10/05 07:56
19F：→ dildoe: 一堆都iso出来的跟你在paper work 实际上怎样 就跟台湾的 10/05 07:57
20F：→ dildoe: iso一样 10/05 07:57
21F：→ brucetu: 楼上说得好 我还被资安要求过变数名称不可以叫password 10/05 11:27
22F：推 gino0717: 不然你变数取叫 colin 意思是 口令 10/05 16:11
23F：推 NDark: 命名这件事还确实有道理 10/05 16:23
24F：→ NDark: 在可以反组译的包体 解开之後先找的就是那些关键字 10/05 16:23
25F：→ NDark: 譬如说把编码的key直接写在程式码里面 10/05 16:24
26F：推 viper9709: 变数名叫colin XDDD 10/05 16:32
27F：→ atst2: 命名这件事以前有道理，现在没有。程式码混淆技术都出来多 10/05 16:47
28F：→ atst2: 久了。 10/05 16:47
29F：→ brucetu: 我觉得假设原始码一定会被偷 而且一定可以被攻击者理解 10/05 18:30
30F：→ brucetu: 在这个前提下开发系统再去考虑资安问题才是有道理 毕竟 10/05 18:30
31F：→ brucetu: 你防不了离职员工 10/05 18:30
32F：推 tsaigi: 这句一出来 以後出问题就是你负责 10/05 20:19
33F：嘘 darkMood: 改的话有问题你要负责? 你又凭什麽负责? 讲笑话大队? 10/06 04:08
34F：推 EricTao: 从负责的角度来看 主管会拒绝重构就是因为他觉得你不够 10/06 12:43
35F：→ EricTao: 格负责 不是什麽组织都能推基层出来全坦的 10/06 12:43
36F：→ viper9709: 推楼上 10/06 16:16
37F：→ MonyemLi: 人生不能重来，上面的乌纱帽也很难。你能负责喊的很大 10/07 19:12
38F：→ MonyemLi: 声，但你真能负责吗？这不是杀掉小角色可以解决的问题 10/07 19:12
39F：→ MonyemLi: 。你会觉的过於悲观，但第一句 10/07 19:12
40F：→ ssccg: 套件库升级跟重构两回事 10/08 13:43
41F：→ ssccg: 现在有AI读code，命名和混淆技术都是过去式 10/08 13:44