※ 引述《blackbing (blackbing)》之銘言： : ※ 引述《chris (ψ純粹透明ζ低調上等！)》之銘言： : 對programer來說，會覺得「某些」動作是很危險的， : 但對一般使用者來說，「方便」才是最重要的， : 除了剪貼簿資料IE和FF的行為有差異之外， : 還有FF沒辦法直接顯示本地端的圖片， : 也就是無法做「預覽上傳圖片」的功能， : 這也是FF因為安全性的考量而無法顯示， : 但是畢竟以往稱霸的browser是IE， : 能在IE使用的功能，竟然就無法在FF上使用， : 還多了個可怕的「安全性提醒」(對使用者來說)， : 但這方面的議題很弔詭的情況卻是， : 透過flash來解決， : 有人說IE可以存取使用者剪貼簿很「可怕」， : 那flash不就更可怕， : 有很多brower由於安全性議題預設不能用的功能， : flash都可以辦的到， : 例如AJAX上傳，最佳的方式也是透過flash來取得上傳資訊， : 上傳進度等等， : 那會不會有人說，「哇靠～flash太可怕了，連這些東西都能取得」。 : 但無疑的，能讓使用者更方便的事情也是programer所在追求的事情， : IE和FF有所出入的安全性議題，很多都能透過flash來辦到， : 有時候會覺得...那FF到底在堅持什麼勁XD 因為無知就是力量啊 使用者如果不能瞭解這些資料被竊取的危險，我們瞎操心也沒有用， 所以線上遊戲版那些user才會人心惶惶，連開個官網都要兢兢業業。 我覺得告知是種禮貌，使用者的教育訓練更是 PG 的責任。-_- 說實在的，如果pg不能為使用者把關，難道要等發生事故再來把關嗎？ 再說到你舉的例子，Flash真的不能說是安全啊， 最近（五月底左右）才剛爆發近年來罕見規模的安全性issue， google一下 Flash漏洞就知道我在說什麼了。 ──────────────────────────────── 而且這次據報是大量自動化程式掃出來的結果， 那些覺得使用者不會鑽漏洞的人該注意了... 這剛好就是兩大資安漏洞的結合，一個是sql injection， 另一個就是Flash日前被發現的安全性issue。 前者的肇因就是pg的認知不足，或者是貪圖方便所寫的code， 個人覺得寫出這種code的pg跟間接造成傷害其實沒什麼兩樣。 後者的肇因就是「方便」議題惹的禍。 再討論到方便的同時，請不要忽視過去的嚴重資安issue。 使用者是無知的，你可以選擇訓練他們， 或者摸摸鼻子去找其他管道解決。 比方說我就看過某學校為了選課系統不顯示是否要安裝activeX， 而在選課說明要學生把他們校方網站加入安全的網域裡面的， 這也是一種方法。 ──────────────────────────────── 認證、同意制度就很重要，以java applet為例， 沒有使用者同意之前只要牽扯到io之類的部份全部不能動， 對使用者來講就是相對的有保障， 對user來講你只是幾千個程式的pg中的一個，一個好人不代表有幾千個好人。 ──────────────────────────────── 當然，無知的確可以是一種力量，只是未免太消極了些。 -- I am a person, and I am always thinking . Thinking in love , Thinking in life , Thinking in why , Thinking in worth. I can't believe any of what , I am just thinking then thinking , but worst of all , most of mine is thinking not actioning... --

※ 發信站: 批踢踢實業坊(ptt.cc) ◆ From: 220.134.27.68 ※ 編輯: TonyQ 來自: 220.134.27.68 (06/09 18:58)