恶意代码漏洞 - 可能通过合并对可变对象的引用来暴露内部表示

Question

我的 dto 类中有以下代码。

public void setBillDate(Date billDate) {
    this.billDate = billDate;
}

我在声纳中遇到了这样的错误，我不确定我在这里做错了什么。

Malicious code vulnerability - May expose internal representation by incorporating reference to mutable object   

该类是一个dto，该方法是自动创建的setter方法。我在这里做错了什么。如果有人能解释一下。这将是一个很大的帮助。

Answer 1

Date 是可变的

使用该设置器，某人可以从外部无意中修改日期实例

考虑一下

class MyClass {

   private Date billDate;


   public void setBillDate(Date billDate) {
      this.billDate = billDate;
   }

}

现在有人可以设置它

MyClass m = new MyClass();

Date dateToBeSet = new Date();
m.setBillDate(dateToBeSet); //The actual dateToBeSet is set to m

dateToBeSet.setYear(...); 
//^^^^^^^^ Un-intentional modification to dateToBeSet, will also modify the m's billDate 

为避免这种情况，您可能需要在设置之前深复制

public void setBillDate(Date billDate) {
    this.billDate = new Date(billDate.getTime());
}

Answer 2

我想知道为什么没有一个解决方案将 null 考虑在内。一个通用的、null 安全的解决方案应该如下所示：

public void setBillDate(Date billDate) {
    this.billDate = billDate != null ? new Date(billDate.getTime()) : null;
}

Answer 3

Date 是可变的

而你没有创建一个 的副本 Date 传入你的是参数。所以如果客户端代码会改变Date对象的值，它也会影响你的类。

解决方案是创建Date的副本

public setBillDate(Date billDate){
   this.billDate = new Date(billDate.getTime());
}

Answer 4

也可以考虑使用克隆。不要忘记空检查。

public void setBillDate(Date billDate) {
    this.billDate = billDate == null ? null : billDate.clone();
}

Answer 5

除了现有的答案之外，我还提出了一个基于 Java 8 的 Optional 类的新版本。

public void setBillDate(Date billDate) {
    this.billDate = Optional
            .ofNullable(billDate)
            .map(Date::getTime)
            .map(Date::new)
            .orElse(null);
}

Answer 6

一个反驳的论点可以是，为什么一个人会无意修改日期？如果客户端设置了值然后修改它，那么我们的代码应该反映它，不是吗？如果不是，那不是很混乱吗？

我宁愿忽略这个 FindBugs 警告。

如果您想这样做，只需在您的 pom.xml 中添加以下 Maven 依赖项：

<!-- Findbugs -->
        <dependency>
            <groupId>com.google.code.findbugs</groupId>
            <artifactId>annotations</artifactId>
            <version>3.0.1</version>
            <scope>provided</scope>
        </dependency>
        <dependency>
            <groupId>com.google.code.findbugs</groupId>
            <artifactId>annotations</artifactId>
            <version>3.0.1</version>
            <scope>provided</scope>
        </dependency>
        <dependency>
            <groupId>com.google.code.findbugs</groupId>
            <artifactId>jsr305</artifactId>
            <version>3.0.1</version>
            <scope>provided</scope>
        </dependency>

然后是 POJO 中类或成员字段级别的这些注释：

@SuppressFBWarnings(value = { "EI_EXPOSE_REP", "EI_EXPOSE_REP2" }, justification = "I prefer to suppress these FindBugs warnings")

干杯

阿克谢

Answer 7

日期不是一成不变的，即你的 billDate 可以在你的 DTO 对象上设置后更改。或者，在代码中：

Date billDate = new Date();
dto.setBillDate(billDate);
billDate.setYear(1990);
// now, dto.getBillDate().getYear() == 1990

你可以让你的 setter 更安全：

public void setBillDate(Date billDate) {
    this.billDate = (Date)billDate.clone();
}

Answer 8

37 号最佳答案不是正确答案：没人关心 NullPointerExceptions???

你应该试试这个：

public void setBillDate(Date billDate) {
    this.billDate = billDate == null ? billDate : new Date(billDate.getTime());
}