je préfère avoir une CVE qu'un bug utilisateur documenté.
Je n'ai jamais dit ça mais si ton bug documenté modifie des données utilisateur dans son dos, ce n'est pas beaucoup mieux.
Le petit article suivant propose une classification que je trouve pas trop mal.
Tu le sais comment ? À part lancer du fuzzing sur ton programme et attendre ?
Le fuzzing, c'est un peu l'IA de la validation logiciel. Je ne dis pas que c'est inutile mais franchement, il y a beaucoup de choses à faire avant d'en arriver là.
De la couverture de code et du profilage mémoire lors des tests unitaires, d'intégration et des tests fonctionnels, ça fait déjà pas mal de choses.
Après, pour que cela n'arrive pas chez l'utilisateur final, cela suppose que l'on laisse le temps de faire des tests un peu poussés avec un vrai cahier de tests qui ne se passe pas en deux heures.
[^] # Re: Performances vs. Sécurité
Posté par Blackknight (site web personnel, Mastodon) . En réponse au journal Le glissement du C++ (et dans une moindre mesure du C) vers une position indésirable. Évalué à 2.
Je n'ai jamais dit ça mais si ton bug documenté modifie des données utilisateur dans son dos, ce n'est pas beaucoup mieux.
Le petit article suivant propose une classification que je trouve pas trop mal.
Le fuzzing, c'est un peu l'IA de la validation logiciel. Je ne dis pas que c'est inutile mais franchement, il y a beaucoup de choses à faire avant d'en arriver là.
De la couverture de code et du profilage mémoire lors des tests unitaires, d'intégration et des tests fonctionnels, ça fait déjà pas mal de choses.
Après, pour que cela n'arrive pas chez l'utilisateur final, cela suppose que l'on laisse le temps de faire des tests un peu poussés avec un vrai cahier de tests qui ne se passe pas en deux heures.