exploit - 使用漏洞作为功能。我应该允许吗？

Question

如果用户想要一个特性，特性请求的优先级较低，但用户发现并利用了一个允许获得与该特性相同的结果的错误，作为开发人员应该怎么做？我应该修复错误（并失去“功能”）吗？

注意：该错误不是安全威胁，也不是数据完整性威胁。

场景#2：我们不知道用户是否将漏洞利用作为“功能”。同样的问题。

Answer 1

我觉得这取决于。如果他们没有恶意使用它，我会继续让他们使用该漏洞，然后确保无论何时实际实现该功能，您都会使其与漏洞的工作方式相似，同时确保用户免受崩溃和像。

我的意思是，如果我一直在使用漏洞利用来启用一项功能，但突然间我无法使用我一直在做的任何工作，我会非常沮丧。此外，当然，请务必告诉用户该漏洞已修复，并在您开始执行此操作时替换为某个功能。

Answer 2

好吧，这更多是个人喜好问题，而不是编码问题，但是...

如果已知人们正在使用该错误/功能并假设我们 100% 确定该错误不是安全威胁，我会将其留在那里，直到我可以正确实施该功能为止。

我不想冒险让用户停止使用服务（即使这意味着他们必须暂时使用错误来做他们想做的事）。

但是，如果您认为没有人在使用该错误或者它可能对我构成安全威胁，我会修复它。

Answer 3

我认为您有 2 个选项： 选项 1：通过对错误进行良好的研究，确保错误不是安全威胁或数据完整性威胁。如果您发现使用该错误确实没有风险，您可以使用它并可能进一步开发它以提供良好的用户体验。

选项2：禁用它以您想要的方式开发并发布它。