Security 我是否必须保护已由权限保护的请求？

我有一个管理员网站，每个url都需要一定级别的权限。其中一个URL用于通过SSH（不同的机器）删除用户文件夹。具有此url所需权限的管理员还可以访问每个用户的所有信息（gdpr受限除外）。基本上，它是一种超级管理员。此管理员发布用户名，该用户名是ssh shell cmd（漏洞）中使用的路径的一部分。我的同事最近指出，权限是不够的，输入应该是安全的（f.e.regexp），甚至对于管理员也是如此。这真的有必要吗？我们应该考虑管理员（有权删除所有用户文件夹）想要入侵虚拟机的场景吗