java安全編碼指南之:表達式規(guī)則說明
簡介
在java編寫過程中,我們會使用到各種各樣的表達式,在使用表達式的過程中,有哪些安全問題需要我們注意的呢?一起來看看吧。
注意表達式的返回值
我們在使用JDK庫的時候,一定要注意認真的讀一下JDK中方法的含義和它的返回值。
有些返回值可能表示這個操作是否成功,有的返回值可能是方法操作的結(jié)果。我們看兩個常見的例子:
public void deleteFileWrong(){ File file= new File("/tmp/www.dbjr.com.cn.txt"); file.delete(); System.out.println("File delete success!"); } public void deleteFileRight(){ File file= new File("/tmp/www.dbjr.com.cn.txt"); if(file.delete()){ System.out.println("File delete success!"); } }
先看一個文件刪除的例子,delete方法是有返回值的,所以我們在調(diào)用delete方法之后,一定要判斷一下返回值,看是否刪除成功。
再看一個常見的String中字符替換的例子:
public void stringReplaceWrong(){ String url="www.dbjr.com.cn"; url.replace("www","WWW"); System.out.println("replaced url..."+url); } public void stringReplaceRight(){ String url="www.dbjr.com.cn"; url=url.replace("www","WWW"); System.out.println("replaced url..."+url); }
我們要記住,String是不可變的,所以它的replace方法,會返回一個替換過后的String,但是原String是不變的,所以我們需要將返回值重新賦值。
注意避免NullPointerException
NullPointerException應(yīng)該是最最常見的運行時異常了。怎么避免這個異常呢?
我們要做的就是在調(diào)用object的方法時候,一定要判斷這個object是不是為空。
在JDK8之后,我們引入了Stream操作:
public void streamWrong(Collection<Object> collection){ collection.stream().filter(obj->obj.equals("www.dbjr.com.cn")); }
Stream操作的過程中,我們需要注意stream中的元素是否為空。
有時候,我們可能覺得已經(jīng)判斷是為空了,但是條件判斷不準確,導致未知的異常,看下面這個例子:
public int countWrong(Collection<Object> collection, Object object){ int count=0; if(collection ==null){ return count; } for(Object element: collection){ if((element ==null && object== null) || element.equals(object)){ count++; } } return count; }
這個例子是用來查找collection中到底有多少元素和object相同,如果兩者都為空,也記為相同。
但是上面的例子有一個漏洞,它沒有考慮element ==null 而 object !=null的情況,所以會導致NullPointerException的生成。
我們需要這樣修改:
public int countRight(Collection<Object> collection, Object object){ int count=0; if(collection ==null){ return count; } for(Object element: collection){ if((element ==null && object== null) || (element !=null && element.equals(object))){ count++; } } return count; }
數(shù)組相等的判斷
如果我們需要比較兩個數(shù)組是否相等,其實我們想比較的是兩個數(shù)組中的元素是否相等。
我們知道數(shù)組是一個特殊的Object,那么數(shù)組對象也有一個equals方法,考慮下面的例子:
public boolean compareWrong(){ int[] array1 = new int[10]; int[] array2 = new int[10]; return array1.equals(array2); }
返回的結(jié)果是false,因為數(shù)組直接使用了Object中定義的equals方法,我們看下該方法的定義:
public boolean equals(Object obj) { return (this == obj); }
可以看到,該方法比較的是兩個地址是否相等。所以我們的到了false結(jié)果。
其實,我們可以使用Arrays.equals工具類中的方法來進行兩個數(shù)組的比較:
public boolean compareRight(){ int[] array1 = new int[10]; int[] array2 = new int[10]; return Arrays.equals(array1, array2); }
基礎(chǔ)類型的封裝類間的比較
在java中,我們知道有一些基礎(chǔ)類型像boolean, byte,char, short, int他們會有相對應(yīng)的封裝類型:Boolean,Byte,Character,Short,Integer等。
我們可以直接將基礎(chǔ)類型的值賦值給封裝類型,封裝類型會自行進行轉(zhuǎn)換。
考慮下面的例子:
Boolean boolA=true; Boolean boolB=true; System.out.println(boolA==boolB);
結(jié)果是多少呢?
答案是true。為什么兩個不同對象的比較會是true呢?
在回答這個問題之前,我們看一下字符串的比較:
String stringA="www.dbjr.com.cn"; String stringB="www.dbjr.com.cn"; System.out.println(stringA==stringB);
這個我們大家應(yīng)該都知道,因為String有一個字符串常量池,直接從字符串常量構(gòu)建的String對象,其實是同一個對象。
同樣的對于Boolean和Byte來說,如果直接從基礎(chǔ)類值構(gòu)建的話,也是同一個對象。
而對于Character來說,如果值的范圍在\u0000 to \u007f,則屬于同一個對象,如果超出了這個范圍,則是不同的對象。
對于Integer和Short來說,如果值的范圍在-128 and 127,則屬于同一個對象,如果超出了這個范圍,則是不同的對象。
再考慮下面的例子:
Boolean boolA=true; Boolean boolC=new Boolean(true); System.out.println(boolA==boolC);
輸出的結(jié)果是false,因為boolC使用了new關(guān)鍵字,構(gòu)建了一個新的對象。
集合中類型不匹配
現(xiàn)在java集合可以通過指定類型,從而只存儲特定類型的對象??紤]下面的一個例子:
public void typeMismatch(){ HashSet<Short> shortSet= new HashSet<>(); for(int i=0;i<10;i++){ shortSet.add((short)i); shortSet.remove(i); } System.out.println(shortSet.size()); }
上面代碼我們定義了一個Short的集合,然后將0-9添加進去,接著我們又調(diào)用了remove方法把i從集合刪除。
但是最后輸出結(jié)果是10,表明我們并沒有刪除成功。為什么呢?
看下HashSet的remove方法:
public boolean remove(Object o) { return map.remove(o)==PRESENT; }
remove方法的參數(shù)是Object,我們傳入的i是int類型的,跟short不匹配,所以導致刪除失敗。
我們需要這樣修改:
public void typeMatch(){ HashSet<Short> shortSet= new HashSet<>(); for(int i=0;i<10;i++){ shortSet.add((short)i); shortSet.remove((short)i); } System.out.println(shortSet.size()); }
Asset的副作用
我們會使用Asset語句在代碼中做調(diào)試使用,在使用的過程中需要注意Asset語句不要對系統(tǒng)的業(yè)務(wù)邏輯產(chǎn)生副作用,也就是說即使Asset語句不運行,也不會修改代碼的業(yè)務(wù)邏輯。
看下面的例子:
public void assetWrong(ArrayList<Integer> list){ assert list.remove(0)>0; }
上的代碼我們從list中刪除第一個元素,并判斷刪除的元素是否大于0.
上面的代碼如果assert語句不執(zhí)行的話,會導致業(yè)務(wù)邏輯也不執(zhí)行,所以需要修改成下面這樣:
public void assetRight(ArrayList<Integer> list){ int result=list.remove(0); assert result>0; }
本文的例子:
learn-java-base-9-to-20/tree/master/security
補充知識:Slow HTTP Denial of Service Attack 漏洞解決
解決漏洞需要修改tomcat conf 下 server.xml 文件
<Connector port="8080" protocol="HTTP/1.1" connectionTimeout="2000" redirectPort="8443" URIEncoding="UTF-8"/> connectionTimeout="20"
以上這篇java安全編碼指南之:表達式規(guī)則說明就是小編分享給大家的全部內(nèi)容了,希望能給大家一個參考,也希望大家多多支持腳本之家。
相關(guān)文章
spring框架cacheAnnotation緩存注釋聲明解析
這篇文章主要介紹了spring框架中cacheAnnotation注釋聲明緩存解析示例有需要的朋友可以借鑒參考下,希望能夠有所幫助2021-10-10Java 將文件轉(zhuǎn)為字節(jié)數(shù)組知識總結(jié)及實例詳解
這篇文章主要介紹了Java 將文件轉(zhuǎn)為字節(jié)數(shù)組實例詳解的相關(guān)資料,需要的朋友可以參考下2016-12-12啟用設(shè)置org.slf4j.Logger打印并輸出日志方式
這篇文章主要介紹了啟用設(shè)置org.slf4j.Logger打印并輸出日志方式,具有很好的參考價值,希望對大家有所幫助,如有錯誤或未考慮完全的地方,望不吝賜教2023-11-11