データの形の乱れ、直近の脆弱性4件に関与

コードレビューの2つの観点に名前を付けた過去の投稿の続編だ。OKPNは1つの名前に1種類の値だけが載っているかを問い、OMPVは1つの値に1つの意味だけがあるかを問う。おまけの「Null Trap」ルールは、欠けている値はnullで表すのではなく省略すべきだと説く。

著者はこの検証の範囲を意図的に狭く設定している。これらの原則があれば4件の事故を防げたと主張するのではなく、いずれの事例でも乱れたデータの形が引き金や侵入経路だったと論じる。Next.jsは呼び出し履歴をコロン区切りの内部ヘッダーに詰め込み、React2Shellは参照とプロパティパスを「3ドル:constructor:constructor」のような1つの文字列に詰め込んだ。OttoKitは空文字列を有効なAPIキーとして扱い、「キー未設定」と「一致」を区別できなかった。Google Cloudの6月12日の障害は、新たなチェックが想定していなかったポリシーデータの空欄に由来する。

特筆すべきは、著者が4件の検証にClaudeを使い一次情報と突き合わせた点だ。結びの指摘は、AIにコードを書かせるとコロン詰めの値や返却されたnullが生まれやすく、その場で最も便利な形が後になって最も高くつくことが多い、というものだ。