セキュリティ監査で文句を言われないHTTPステータスコードの使い分け - Qiita

最近はハンドリングしくてもいいや的な、入力改ざんで発生するバリデーションエラーをそのまま500のHTTPステータスで返すと、攻撃者が「なんか攻撃成功しちゃいそう」って思っちゃうとかなんとかで、監査的なところから「500はやめろ」って言われることがあります。 一理ある ということで、安易に500を返さない方法を考えてみます。 HTTPステータスコードにあまり馴染みのない方は、こちら…ではなく、こちらをまず読んでください。 HTTPステータスコードの使い分け基礎 400 まず、ユーザの入力値、データの状態によってエラーになるケースは 400 Bad Request とします。エラーメッセージを表示して再入力を促すHTMLページを返す、一般的な入力エラー系の遷移は200 OKを返しても、実用上問題はないかと思います。 ユーザの操作が原因で、サーバ処理がエラーになった場合も400で扱うのはおかしい

[ledsun]

気軽な気持ちで読んで、最後の図でフイタ

[motsuni2]

知らなかった「IE9はPOSTのリクエストに対して302を返すと、リダイレクト先のURLにもPOSTで遷移するRFC strictな実装がされているので、PRGパターンでの期待と違う動きになります。」

[ockeghem]

診断業者がステータス500というだけで脆弱性指摘することがけしからん。入力値の異常で500になるのは例外が捕捉されてないという問題。この記事自体の内容は妥当

[tyru]

「バリデーションエラーをそのまま500のHTTPステータスで返すと、攻撃者が「なんか攻撃成功しちゃいそう」って思っちゃうとかなんとかで、監査的なところから「500はやめろ」って言われることがあります」

[bufferings]

これも素敵やなぁ

[sonota88]

「HTTPステータスコードマニアはLiberator(Clojure)を使おう」

[n2s]

ここまでくると偏執的だなぁｗ / まあ安易に500にするんじゃなくてちゃんと例外処理を。スタックトレース吐き出すのは論外。「データがない」のに200はサーチエンジンにゴミ残すのでこれもNG。

[koyancya]

"HTTPステータスコードマニアは、このためだけにでもClojureを使う価値があるのではないでしょうか。"

[masaru_b_cl]

さり気なく入り込むClojure

[toruuetani]

セキュリティ監査か。しんどいな。 凄いけど404の説明が混乱してるように見える。

[koudaiii]

確かに500は指摘ポイントだったw

[k0yoshitsugu]

HTTPステータスコードマニアとは