続フレームワークの責務とセキュリティ
先日のエントリに対してさまざまな反応を戴きました。ありがとうございます。
今回はその中からいくつかを取り上げていきたいと思います。
今回の件に関してはまず前提としてBasic認証の実装です。他の認証についてはおっしゃるようにフレームワークでは何ら規制も規定するという訳ではありません。また、平文パスワード保存については積極的に提供しないというだけであり、必要な状況に応じて実装することをフレームワークで禁止するということでもありません。
平文パスワード保存をフレームワークで安易に提供してしまうと、その危険性を理解していない開発者が利用用途が適切でない場面で乱用してしまう可能性が高まるため、十分な注意喚起を最低限としてできれば提供を避ける(=障壁を設ける)べきだということです。
PRでも僕は下記のように言及しています。
拡張・変更が容易なようにDIやAOPを導入しているのでエッジケースには対応しないというのであれば、
むしろ、プレーンテキストでパスワードをソースコードに記述しなければいけないような危険な要件はエッジケースとして扱って実装対象から外すべきだと僕は思います。
その他、koriymさんを殴る殴らないというコメントもありましたが、たった1度の意見の対立で暴力に訴えるとかどんな世紀末ですか。
ちなみに今夜はローストビーフを仕込んでいます。
