De enige webapplicatie waar ik ooit als ontwikkelaar bij betrokken ben geweest was een (omvangrijke) web-frontend op mainframe-applicaties. De webserver stond in een DMZ, de backend werd via service calls benaderd, het DBMS was niet rechtstreeks aanspreekbaar vanaf de webserver en omdat het geen SQL-database was werkte SQL-injectie daar sowieso niet (database-request werden daar sowieso niet in de vorm van een query-taal aan het DBMS doorgegeven). Gegevensvelden in die mainframewereld hadden vaste lengtes die gewoonlijk geen ruimte boden om iets kwaadaardigs toe te voegen, al vingen we desondanks wel potentieel riskante zaken af. Vanuit dat perspectief heb ik me altijd verbaasd over het gemak waarmee databases op servers worden gezet die rechtstreeks aan het internet hangen, en waarmee applicaties die op aan het internet verbonden servers draaien over een directe lijn naar een DBMS beschikken, waar als iemand blundert met de autorisatie potentieel elke query over kan worden uitgevoerd. Ik snap de voordelen ...