[ruby-dev:35273] $SAFEの今後

〜これまでのあらすじ〜

[ruby-dev:35241]の後、山口さんには実際に複数のセーフレベル関連の問題点を
指摘していただき、いくつかは修正されました。ありがとうございます。
しかしそれらの修正を議論するうちに、やはりセーフレベル(特に4)は機能とし
て未完成であるという認識をいっそう強くすることにもなりました。セーフレベ
ル関連のセキュリティホールは今後も継続して見つかるであろうと強く予想され
ます。そこで、山口さんにご報告いただいた点に関しては引き続き吟味しており
ますが、全般にセーフレベル4はもうちょっとどうにかなるべきなのは間違いな
く、セーフレベル4自体を取り巻く議論は広く公開すべきであるとの合意になっ
たので、ruby-devに議論の場を移します。

〜あらすじ　おわり〜

卜部の意見としては、今のところ以下の二点に集約されています。

(1). セーフレベル4は未完成であるからこそ問題の影響度が未知であり、無闇に
公表するのは危険だと考えます。セーフレベル4には tDiaryとかHikiとかのわり
と広く使われているアプリケーションがあります。セーフレベルを突破する攻撃
が発見された場合、それらを使っているサイト上で甚大な被害が出ることも想定
しないといけません。未完成だろうが実用上問題があろうが使ってる人は使って
る現状があるので、ユーザーの目線で見ればヤバいもんはヤバいに変わりません。

(2). 長期的な視点からセーフレベル4の機能を一旦trunkから外し、別ブランチ
で開発することを提案します。半分冗談だけど半分くらい本気です。ようするに
現状$SAFEは
* メインストリームにマージされてて
* リリースにも含まれている上に
* しかもなんかサポートされてる
という状態なわけで、これならアプリケーション開発者が勘違いして使っちゃっ
てもしょうがない気がします。危ないよ危ないよ、っていうコンセンサスがない
んです。逆から言えば、危ないことがみんな分かってて誰も使ってない枝で充分
開発してからマージすればいいんだとおもいます。
すでにリリースされてる1.8.6や1.8.7から機能を取り除くことはしません。どう
しようもないです。我々が背負った業のようなものなので、付き合い続けるしか
ありません。
しかしもっと長期的に見て、1.8が(1.6や1.4のように)完全に使われなくなった
ころの遠未来でセーフレベルが幸せに使えるために、今から trunk で作業し出
すのはそんなに悪い時期ではないと思います。

これに対してまつもとさんからすでに反論いただいているのですが、その内容を
俺が紹介するのはフェアではないので、お手数ですがこのメールに再度反論して
いたくところから再開するのがいいんじゃないかと思います。よろしくおねがい
します。