使用漏洞利用功能。我应该允许吗？

Question

如果用户想要一个功能，功能请求的优先级较低，但用户发现并利用了一个允许获得与该功能相同的结果的错误，我应该如何开发？我应该修复这个错误（并且失去一个“功能”）吗？

注意：该错误不是安全威胁，也不是数据完整性威胁。

场景＃2：我们不知道用户是否将漏洞利用作为“功能”。同样的问题。

Answer 1

嘛，这更是个人喜好，而不是编码，但一个问题...

如果人们已知使用的bug /功能，并假设我们是100％肯定的bug是不是安全威胁，我会把它留在那里，直到我可以正确实现这个功能。

我不想冒用户使用服务的风险（即使这意味着他们不得不临时使用bug来做他们想做的事）。

但是，如果您认为没有人使用该错误或者它可能是我的安全威胁，我会修复它。

Answer 2

我觉得这取决于。如果他们没有恶意使用它，我会继续让他们使用漏洞利用，然后确保只要实际实现了该功能，就可以确保它与漏洞利用的工作方式相似，同时保持用户安全，避免崩溃和喜欢。

我的意思是，如果我一直在使用漏洞启用某项功能，并且突然间我不能使用我一直在做的任何工作，我都会感到沮丧。此外，当然，一定要告诉用户，漏洞利用已被修复，并且每当您执行操作时都会替换为某项功能。

Answer 3

我认为你有两个选择： 选项1： 通过对bug进行良好的研究，确保该bug不是安全威胁或数据完整性威胁。如果您发现使用该漏洞确实没有风险，您可以使用它，也可以进一步开发以获得良好的用户体验。

选项2：禁用它以您想要的方式开发并释放它。