簡(jiǎn)介

在java編寫(xiě)過(guò)程中，我們會(huì)使用到各種各樣的表達(dá)式，在使用表達(dá)式的過(guò)程中，有哪些安全問(wèn)題需要我們注意的呢？一起來(lái)看看吧。

注意表達(dá)式的返回值

我們?cè)谑褂肑DK庫(kù)的時(shí)候，一定要注意認(rèn)真的讀一下JDK中方法的含義和它的返回值。

有些返回值可能表示這個(gè)操作是否成功，有的返回值可能是方法操作的結(jié)果。我們看兩個(gè)常見(jiàn)的例子：

public void deleteFileWrong(){ File file= new File('/tmp/www.jb51.net.txt'); file.delete(); System.out.println('File delete success!'); } public void deleteFileRight(){ File file= new File('/tmp/www.jb51.net.txt'); if(file.delete()){ System.out.println('File delete success!'); } }

先看一個(gè)文件刪除的例子，delete方法是有返回值的，所以我們?cè)谡{(diào)用delete方法之后，一定要判斷一下返回值，看是否刪除成功。

再看一個(gè)常見(jiàn)的String中字符替換的例子：

public void stringReplaceWrong(){ String url='www.jb51.net'; url.replace('www','WWW'); System.out.println('replaced url...'+url); } public void stringReplaceRight(){ String url='www.jb51.net'; url=url.replace('www','WWW'); System.out.println('replaced url...'+url); }

我們要記住，String是不可變的，所以它的replace方法，會(huì)返回一個(gè)替換過(guò)后的String，但是原String是不變的，所以我們需要將返回值重新賦值。

注意避免NullPointerException

NullPointerException應(yīng)該是最最常見(jiàn)的運(yùn)行時(shí)異常了。怎么避免這個(gè)異常呢？

我們要做的就是在調(diào)用object的方法時(shí)候，一定要判斷這個(gè)object是不是為空。

在JDK8之后，我們引入了Stream操作：

public void streamWrong(Collection<Object> collection){ collection.stream().filter(obj->obj.equals('www.jb51.net')); }

Stream操作的過(guò)程中，我們需要注意stream中的元素是否為空。

有時(shí)候，我們可能覺(jué)得已經(jīng)判斷是為空了，但是條件判斷不準(zhǔn)確，導(dǎo)致未知的異常，看下面這個(gè)例子：

public int countWrong(Collection<Object> collection, Object object){ int count=0; if(collection ==null){ return count; } for(Object element: collection){ if((element ==null && object== null) || element.equals(object)){ count++; } } return count; }

這個(gè)例子是用來(lái)查找collection中到底有多少元素和object相同，如果兩者都為空，也記為相同。

但是上面的例子有一個(gè)漏洞，它沒(méi)有考慮element ==null 而 object ！=null的情況，所以會(huì)導(dǎo)致NullPointerException的生成。

我們需要這樣修改：

public int countRight(Collection<Object> collection, Object object){ int count=0; if(collection ==null){ return count; } for(Object element: collection){ if((element ==null && object== null) || (element !=null && element.equals(object))){ count++; } } return count; }

數(shù)組相等的判斷

如果我們需要比較兩個(gè)數(shù)組是否相等，其實(shí)我們想比較的是兩個(gè)數(shù)組中的元素是否相等。

我們知道數(shù)組是一個(gè)特殊的Object，那么數(shù)組對(duì)象也有一個(gè)equals方法，考慮下面的例子：

public boolean compareWrong(){ int[] array1 = new int[10]; int[] array2 = new int[10]; return array1.equals(array2); }

返回的結(jié)果是false，因?yàn)閿?shù)組直接使用了Object中定義的equals方法，我們看下該方法的定義：

public boolean equals(Object obj) { return (this == obj); }

可以看到，該方法比較的是兩個(gè)地址是否相等。所以我們的到了false結(jié)果。

其實(shí)，我們可以使用Arrays.equals工具類(lèi)中的方法來(lái)進(jìn)行兩個(gè)數(shù)組的比較：

public boolean compareRight(){ int[] array1 = new int[10]; int[] array2 = new int[10]; return Arrays.equals(array1, array2); }

基礎(chǔ)類(lèi)型的封裝類(lèi)間的比較

在java中，我們知道有一些基礎(chǔ)類(lèi)型像boolean, byte，char, short, int他們會(huì)有相對(duì)應(yīng)的封裝類(lèi)型：Boolean，Byte，Character，Short，Integer等。

我們可以直接將基礎(chǔ)類(lèi)型的值賦值給封裝類(lèi)型，封裝類(lèi)型會(huì)自行進(jìn)行轉(zhuǎn)換。

考慮下面的例子：

Boolean boolA=true; Boolean boolB=true; System.out.println(boolA==boolB);

結(jié)果是多少呢？

答案是true。為什么兩個(gè)不同對(duì)象的比較會(huì)是true呢？

在回答這個(gè)問(wèn)題之前，我們看一下字符串的比較：

String stringA='www.jb51.net'; String stringB='www.jb51.net'; System.out.println(stringA==stringB);

這個(gè)我們大家應(yīng)該都知道，因?yàn)镾tring有一個(gè)字符串常量池，直接從字符串常量構(gòu)建的String對(duì)象，其實(shí)是同一個(gè)對(duì)象。

同樣的對(duì)于Boolean和Byte來(lái)說(shuō)，如果直接從基礎(chǔ)類(lèi)值構(gòu)建的話，也是同一個(gè)對(duì)象。

而對(duì)于Character來(lái)說(shuō)，如果值的范圍在u0000 to u007f，則屬于同一個(gè)對(duì)象，如果超出了這個(gè)范圍，則是不同的對(duì)象。

對(duì)于Integer和Short來(lái)說(shuō)，如果值的范圍在-128 and 127，則屬于同一個(gè)對(duì)象，如果超出了這個(gè)范圍，則是不同的對(duì)象。

再考慮下面的例子：

Boolean boolA=true;Boolean boolC=new Boolean(true);System.out.println(boolA==boolC);

輸出的結(jié)果是false，因?yàn)閎oolC使用了new關(guān)鍵字，構(gòu)建了一個(gè)新的對(duì)象。

集合中類(lèi)型不匹配

現(xiàn)在java集合可以通過(guò)指定類(lèi)型，從而只存儲(chǔ)特定類(lèi)型的對(duì)象。考慮下面的一個(gè)例子：

public void typeMismatch(){ HashSet<Short> shortSet= new HashSet<>(); for(int i=0;i<10;i++){ shortSet.add((short)i); shortSet.remove(i); } System.out.println(shortSet.size()); }

上面代碼我們定義了一個(gè)Short的集合，然后將0-9添加進(jìn)去，接著我們又調(diào)用了remove方法把i從集合刪除。

但是最后輸出結(jié)果是10，表明我們并沒(méi)有刪除成功。為什么呢？

看下HashSet的remove方法：

public boolean remove(Object o) { return map.remove(o)==PRESENT; }

remove方法的參數(shù)是Object，我們傳入的i是int類(lèi)型的，跟short不匹配，所以導(dǎo)致刪除失敗。

我們需要這樣修改：

public void typeMatch(){ HashSet<Short> shortSet= new HashSet<>(); for(int i=0;i<10;i++){ shortSet.add((short)i); shortSet.remove((short)i); } System.out.println(shortSet.size()); }

Asset的副作用

我們會(huì)使用Asset語(yǔ)句在代碼中做調(diào)試使用，在使用的過(guò)程中需要注意Asset語(yǔ)句不要對(duì)系統(tǒng)的業(yè)務(wù)邏輯產(chǎn)生副作用，也就是說(shuō)即使Asset語(yǔ)句不運(yùn)行，也不會(huì)修改代碼的業(yè)務(wù)邏輯。

看下面的例子：

public void assetWrong(ArrayList<Integer> list){ assert list.remove(0)>0; }

上的代碼我們從list中刪除第一個(gè)元素，并判斷刪除的元素是否大于0.

上面的代碼如果assert語(yǔ)句不執(zhí)行的話，會(huì)導(dǎo)致業(yè)務(wù)邏輯也不執(zhí)行，所以需要修改成下面這樣：

public void assetRight(ArrayList<Integer> list){ int result=list.remove(0); assert result>0; }

本文的例子：

learn-java-base-9-to-20/tree/master/security

補(bǔ)充知識(shí)：Slow HTTP Denial of Service Attack 漏洞解決

解決漏洞需要修改tomcat conf 下 server.xml 文件

<Connector port='8080' protocol='HTTP/1.1' connectionTimeout='2000' redirectPort='8443' URIEncoding='UTF-8'/> connectionTimeout='20'

以上這篇java安全編碼指南之:表達(dá)式規(guī)則說(shuō)明就是小編分享給大家的全部?jī)?nèi)容了，希望能給大家一個(gè)參考，也希望大家多多支持好吧啦網(wǎng)。