簡介

在java編寫過程中，我們會使用到各種各樣的表示式，在使用表示式的過程中，有哪些安全問題需要我們注意的呢？一起來看看吧。

注意表示式的返回值

我們在使用JDK庫的時候，一定要注意認真的讀一下JDK中方法的含義和它的返回值。

有些返回值可能表示這個操作是否成功，有的返回值可能是方法操作的結果。我們看兩個常見的例子：

 public void deleteFileWrong(){
  File file= new File("/tmp/www.jb51.net.txt");
  file.delete();
  System.out.println("File delete success!");
 }

 public void deleteFileRight(){
  File file= new File("/tmp/www.jb51.net.txt");
  if(file.delete()){
   System.out.println("File delete success!");
  }
 }

先看一個檔案刪除的例子，delete方法是有返回值的，所以我們在呼叫delete方法之後，一定要判斷一下返回值，看是否刪除成功。

再看一個常見的String中字元替換的例子：

 public void stringReplaceWrong(){
  String url="www.jb51.net";
  url.replace("www","WWW");
  System.out.println("replaced url..."+url);
 }
 public void stringReplaceRight(){
  String url="www.jb51.net";
  url=url.replace("www","WWW");
  System.out.println("replaced url..."+url);
 }

我們要記住，String是不可變的，所以它的replace方法，會返回一個替換過後的String，但是原String是不變的，所以我們需要將返回值重新賦值。

注意避免NullPointerException

NullPointerException應該是最最常見的執行時異常了。怎麼避免這個異常呢？

我們要做的就是在呼叫object的方法時候，一定要判斷這個object是不是為空。

在JDK8之後，我們引入了Stream操作：

 public void streamWrong(Collection<Object> collection){
  collection.stream().filter(obj->obj.equals("www.jb51.net"));
 }

Stream操作的過程中，我們需要注意stream中的元素是否為空。

有時候，我們可能覺得已經判斷是為空了，但是條件判斷不準確，導致未知的異常，看下面這個例子：

 public int countWrong(Collection<Object> collection,Object object){
  int count=0;
  if(collection ==null){
   return count;
  }
  for(Object element: collection){
   if((element ==null && object== null)
    || element.equals(object)){
    count++;
   }
  }
  return count;
 }

這個例子是用來查詢collection中到底有多少元素和object相同，如果兩者都為空，也記為相同。

但是上面的例子有一個漏洞，它沒有考慮element ==null 而 object ！=null的情況，所以會導致NullPointerException的生成。

我們需要這樣修改：

 public int countRight(Collection<Object> collection,Object object){
  int count=0;
  if(collection ==null){
   return count;
  }
  for(Object element: collection){
   if((element ==null && object== null)
     || (element !=null && element.equals(object))){
    count++;
   }
  }
  return count;
 }

陣列相等的判斷

如果我們需要比較兩個陣列是否相等，其實我們想比較的是兩個陣列中的元素是否相等。

我們知道陣列是一個特殊的Object，那麼陣列物件也有一個equals方法，考慮下面的例子：

 public boolean compareWrong(){
  int[] array1 = new int[10];
  int[] array2 = new int[10];
  return array1.equals(array2);
 }

返回的結果是false，因為陣列直接使用了Object中定義的equals方法，我們看下該方法的定義：

 public boolean equals(Object obj) {
  return (this == obj);
 }

可以看到，該方法比較的是兩個地址是否相等。所以我們的到了false結果。

其實，我們可以使用Arrays.equals工具類中的方法來進行兩個陣列的比較：

 public boolean compareRight(){
  int[] array1 = new int[10];
  int[] array2 = new int[10];
  return Arrays.equals(array1,array2);
 }

基礎型別的封裝類間的比較

在java中，我們知道有一些基礎型別像boolean,byte，char,short,int他們會有相對應的封裝型別：Boolean，Byte，Character，Short，Integer等。

我們可以直接將基礎型別的值賦值給封裝型別，封裝型別會自行進行轉換。

考慮下面的例子：

  Boolean boolA=true;
  Boolean boolB=true;
  System.out.println(boolA==boolB);

結果是多少呢？

答案是true。為什麼兩個不同物件的比較會是true呢？

在回答這個問題之前，我們看一下字串的比較：

  String stringA="www.jb51.net";
  String stringB="www.jb51.net";
  System.out.println(stringA==stringB);

這個我們大家應該都知道，因為String有一個字串常量池，直接從字串常量構建的String物件，其實是同一個物件。

同樣的對於Boolean和Byte來說，如果直接從基礎類值構建的話，也是同一個物件。

而對於Character來說，如果值的範圍在\u0000 to \u007f，則屬於同一個物件，如果超出了這個範圍，則是不同的物件。

對於Integer和Short來說，如果值的範圍在-128 and 127，則屬於同一個物件，如果超出了這個範圍，則是不同的物件。

再考慮下面的例子：

Boolean boolA=true;
Boolean boolC=new Boolean(true);
System.out.println(boolA==boolC);

輸出的結果是false，因為boolC使用了new關鍵字，構建了一個新的物件。

集合中型別不匹配

現在java集合可以通過指定型別，從而只儲存特定型別的物件。考慮下面的一個例子：

 public void typeMismatch(){
  HashSet<Short> shortSet= new HashSet<>();
  for(int i=0;i<10;i++){
   shortSet.add((short)i);
   shortSet.remove(i);
  }
  System.out.println(shortSet.size());
 }

上面程式碼我們定義了一個Short的集合，然後將0-9新增進去，接著我們又呼叫了remove方法把i從集合刪除。

但是最後輸出結果是10，表明我們並沒有刪除成功。為什麼呢？

看下HashSet的remove方法：

 public boolean remove(Object o) {
  return map.remove(o)==PRESENT;
 }

remove方法的引數是Object，我們傳入的i是int型別的，跟short不匹配，所以導致刪除失敗。

我們需要這樣修改：

 public void typeMatch(){
  HashSet<Short> shortSet= new HashSet<>();
  for(int i=0;i<10;i++){
   shortSet.add((short)i);
   shortSet.remove((short)i);
  }
  System.out.println(shortSet.size());
 }

Asset的副作用

我們會使用Asset語句在程式碼中做除錯使用，在使用的過程中需要注意Asset語句不要對系統的業務邏輯產生副作用，也就是說即使Asset語句不執行，也不會修改程式碼的業務邏輯。

看下面的例子：

 public void assetWrong(ArrayList<Integer> list){
  assert list.remove(0)>0;
 }

上的程式碼我們從list中刪除第一個元素，並判斷刪除的元素是否大於0.

上面的程式碼如果assert語句不執行的話，會導致業務邏輯也不執行，所以需要修改成下面這樣：

 public void assetRight(ArrayList<Integer> list){
  int result=list.remove(0);
  assert result>0;
 }

本文的例子：

learn-java-base-9-to-20/tree/master/security

補充知識：Slow HTTP Denial of Service Attack 漏洞解決

解決漏洞需要修改tomcat conf 下 server.xml 檔案

<Connector port="8080" protocol="HTTP/1.1" connectionTimeout="2000" redirectPort="8443" URIEncoding="UTF-8"/> connectionTimeout="20"

以上這篇java安全編碼指南之:表示式規則說明就是小編分享給大家的全部內容了，希望能給大家一個參考，也希望大家多多支援我們。