È sicuro includere timestamp nei codici di errore mostrati agli utenti?

Non vedo un problema qui perché l'utente conoscerà l'ora esatta in cui ha fatto qualcosa. Considerando che un server ha bisogno di sincronizzare il proprio tempo con una fonte di tempo autorevole, non ci sarà nulla di "perso" all'utente che l'utente non conoscerà già.

Se si desidera nascondere alcuni aspetti del proprio server (ad esempio il fuso orario in cui risiede) è possibile elaborare i registri come ora UTC come formato orario generalizzato.

Uno dei principi della programmazione sicura è di fornire all'utente la minima quantità di informazioni possibile su un messaggio di errore. Mostra solo il timestamp se l'utente deve saperlo .

Non vedo alcun uso di un timestamp su un utente che affronta un messaggio di errore, quindi lo lascerei fuori.

È possibile utilizzare un timestamp su un attacco di canale laterale che tenta di eseguire il bruteforce di una password. È molto improbabile, molto difficile da fare correttamente, ma possibile.

Puoi usare una var speciale per mostrare un errore dettagliato con data e ora:

if (isset($_GET['is_debugging'))
   echo $timestamp;

Questo mostrerà solo il timestamp se la var is_debugging è definita sulla query. (Si spera) che gli utenti finali non siano a conoscenza della var e che gli sviluppatori possano utilizzarlo per eseguire il debug.

Queste informazioni possono essere utili dal punto di vista del supporto, in modo che l'utente possa aprire un ticket nel tuo negozio online e dire esattamente quando ha riscontrato il problema descritto. Altrimenti, cercando di risolvere i problemi degli utenti che affermano di aver riscontrato un errore "la scorsa settimana di martedì mattina ... a meno che non fosse mercoledì ... in realtà forse era alla fine del pomeriggio invece ...", potresti finire per perdere troppo tempo per esaminare i registri senza sapere cosa, quando e dove cercare.

Una buona alternativa, IMHO, vedo sempre più spesso mostrare una rappresentazione base64 di alcuni dati crittografati, dicendo al cliente di inviare questi dati al centro di supporto avrebbe bisogno di assistenza (Google usa questo sistema, un esempio può essere trovato qui ). In questi dati, sei più libero di inserire dati che possono aiutarti a indagare sul problema riscontrato senza rivelare nulla all'utente finale (e, come bonus, ti garantisce che l'utente abbia effettivamente riscontrato un problema ...).