#工程師的段子 這系列感覺一臉就是會爛尾的感覺，感覺會越寫越難笑，但我還是搶救一下。基本上真人真事，但為了不透漏太多資訊有去識別化處理。XD

在以前服務的某公司，那時候我還不是產品主管，有次有黑黑朋友來跟我說:欸，我發現你們的資料在外面裸奔欸。 我: 驚，什麼樣的資料。 朋友: 就某個資料表的名字、電話、住址之類的。(提供我相關的 API 跟資料) 我: (會議中跟產品主管回報) 這個 API 因為完全沒有任何存取控管，沒有 token ，沒有任何邊界，而且可以簡單猜測到序號規則，我覺得蠻有問題的，會導致不必要的個資外洩，如果傳出去風評會很麻煩 產品主管: 這個是業務服務必需的，改掉這隻 API 的話服務會很麻煩 我: (不可置信地看著他) 你認真，你現在是在告訴我他們的住址跟個人手機，是要跟全世界人說的嗎？ 產品主管: 這是業務服務所必要的 我: 你 app 服務需要的話，這段起碼分階段退場吧， app 存取應該做 token 驗證，而且只應該限制取得他所需要的那部分，而不是公開給全世界的人存取吧。你有困難沒辦法一下子全部改掉，但你起碼應該要設計把他慢慢改掉吧。 產品主管: 這是業務服務所必要的，而且這沒有安全問題，他們沒辦法把全部資料抓下來。 我: (震驚) (不講話了) (開始寫程式爬資料) (會議結束前) 我: 請再給我五分鐘，我來跟大家展示剛剛會議中我所提到的那些揭露的資料，我把他製作成excel表，顯示在這。 (火力展示)

該產品技術主管還是堅持沒有問題，這東西從我提出到維持這個狀態之後超過一年，馬的，只能說樹大有枯枝、人多有白癡。

同場加映，以前曾經服務的某另一公司曾經做過一個天才設計，當你[忘記密碼]時，會把密碼用簡訊寄到你手機裡，而不是常見的重設密碼。 我看到的時候驚呆了，一個是幹密碼怎麼會存明文，一個是幹怎麼會用簡訊寄還給他。 當時我也還不是這個業務的主管，我在會議中指出這是個安全問題，應該調整修正，但一樣石沉大海遲遲沒有消息。 後來有次我跟他們家 C什麼O 級的朋友吃飯，我提到這件事情還是嘖嘖稱奇不可思議，他聽聽跟我說他覺得還好。 我想了一下，那你手機螢幕畫面借我操作一下。 他:【不要】。 我: 嘖！

原始 Facebook 貼文