大约15年前我曾为一家咨询公司工作。这家公司会将他们自己的定制开源内容管理系统（cms）应用到大多数项目中——该系统基于mongodb，由CEO开发。他是个很好的人，编程也很棒。但他完全是自学编程的，有很多盲点。而且他非常讨厌别人指出他的盲点。有一次他参加完React大会回来后，以为React团队发明了函数式编程。公司里的一位朋友开始研究这个CMS。结果发现登录系统是通过给用户一个包含用户文档ID的cookie来实现的，该文档ID对应用户身份。没有任何签名，只是明文的文档ID。文档ID（至少之前）大多是按顺序生成的，所以你只需在cookie中枚举文档ID就可以登录任何人的账户。CEO告诉我们这实际上并不是安全漏洞。然后坚持认为我们不需要分配CVE编号，也不需要通知任何客户和用户。他不想修复代码。…
源讨论我发现了一个漏洞。他们找来了一位律师原帖 439 条评论 · 导入时统计多年前，我曾为一家收购了另一家公司的公司工作。我们的质量保证团队被要求对他们的网站进行一次检查。他们发现的问题至今仍然是我和朋友/前同事之间的笑料。 * 账户ID是数字，并且是递增的 * 登录后包含在URL中，例如 ?account=123456 * 登录后请求没有身份验证 所以，任何稍微好奇的人都可以将account_id=123457递增以访问另一个账户。然后尝试123458。然后枚举整个范围，看看是否有任何有趣的内容…… :face-palm: :cold-sweat:
完整原文把你的经验，加入这段讨论。
自学并不是问题。我自学的东西比我在学校学到的多10倍（是的，我在学校学的是计算机科学）。
完整原文一个像这样的人很少被称为"可爱的人"：当你指出他们如此明显的缺点时，这种可爱互动是什么样的呢？ 说实话，这和是否自学无关：当我进入计算机科学课程时，我已经可以说是自学的了，而且我自己也能发现这样的问题。但我以从错误中学习和快速学习而自豪。 所以更可能是一种性格问题：如果你愿意承认自己错了，你会学得更快！
完整原文我是自学的，也参与过几个认证系统……我见过很多专业程序员写的糟糕系统，他们甚至有硕士学位。所以这确实可能两面都有。 我也在工作之外每周花10到15个小时阅读和实验等，以磨练我的技艺和技能，这已经持续了三十年。但总的来说，大多数开发者并没有一直这样做。
完整原文尊重不同观点，分享具体经验。
登录后即可发帖、评论、转发和引用。