Triaje: verdadero, falso y no explotable

Verdadero o falso se queda corto. Un falso positivo es un error del motor: el dato que llega al punto peligroso no lo controla nadie de fuera, o el uso no es el que la regla teme (una función de resumen débil que solo nombra un archivo de caché no protege nada). Un verdadero positivo es un fallo real, alcanzable, con un dato que alguien de fuera puede elegir.

Entre los dos hay una clase que se suele perder: el patrón es real y peligroso, pero hoy ningún camino lo ejecuta, porque el código no se despliega o nadie lo importa. No se descarta como ruido: se borra el código o se corrige con plazo largo, porque el día que alguien lo importe vuelve a ser un verdadero sin que nadie lo note. Y aparte queda lo que no es producto, como las pruebas, que se excluye por configuración y no resultado a resultado.

Abre el laboratorio y lee criterios-triaje.txt y luego informe-cotizador.txt. Hay dos reglas de SQL: una de flujo de datos y otra de forma, que avisa cada vez que una consulta se arma con formato de texto, venga de donde venga lo que se mete. Busca en fragmentos.txt el resultado de la regla de forma y mira qué se interpola en la consulta y de dónde sale.

Dos resultados de la regla de flujo de datos tienen exactamente la misma forma: un parámetro de la petición pegado a una consulta. Uno de ellos vive en un módulo que no importa ningún otro y que no entra en la imagen de producción. Para saberlo no basta el fragmento: hay que cruzarlo con mapa-de-importaciones.txt y con despliegue.txt.

Clasifica los diez con los criterios del equipo. Para cada uno pregúntate tres cosas, en este orden: ¿alguien de fuera elige el dato que llega al punto señalado?, ¿el uso es el que la regla teme?, ¿ese código se despliega y lo alcanza una ruta? Ojo con dos casos: un nombre de archivo temporal que genera el propio sistema no lo elige nadie de fuera, y una redirección a una ruta interna fija tampoco.

Marcar un resultado como falso no es borrarlo: queda una nota que otra persona leerá dentro de seis meses, cuando el código haya cambiado. Una nota útil dice qué evidencia sostiene la decisión (de dónde sale el dato, por qué no llega a quien la regla teme), quién la revisó y qué tendría que cambiar en el código para que la decisión deje de valer.