正在将数据库密码存入未加密的_bug_？

Question

因此，我正在做QA工程师，构建测试环境和测试的短暂演出。我看到存储在数据库中的密码未加密。我对这个话题做了一些阅读，显然这是一种不好的做法。

我应该将它报告为一个错误吗？

Answer 1

如果对系统的规定要求是密码应该被加密存储，那么这是一个错误。如果没有这样的明确要求，我会将其报告为潜在的安全弱点。

Answer 2

不是它的错误，但作为建议的一部分，您可以强制开发人员进行加密，因为密码不是简单的信息。但最终取决于组织的组织结构。正在讨论权威。

Answer 3

错误是与预期行为的差异。如果系统的预期行为包括“不以纯文本存储密码”或“遵守最低安全标准”，则实际行为就是一个错误。如果没有这样的期望存在，这种行为不是一个错误。我们不知道你的产品，所以我们不能回答这个行为是否是一个错误的问题。如果您不知道给定的行为是否是bug，请询问负责定义产品的人员。