数组的设置器：分配给私有数组的公共数据

Question

与https://cwe.mitre.org/data/definitions/496.html相关

谷歌搜索了一下，我发现我们不应该直接从公共 getter/setter 获取/设置私有数组。我们可以通过从 getter 返回数组的副本而不是实际数组来解决这个问题。对于 getter，我们可以将我们的私有数组分配给在 setter 中作为参数接收的数组的副本。

现在，我知道如果我们使用 getter，对数组的引用就会失效，并且可以随时修改。

private int[] arr = {1,2,3}; 
public int[] getArray() {
    return arr;
}

在其他可以访问该类的地方，这样做：

int[] badArray = obj.getArray();
badArray[0] = 100;

修改private arr。 我的问题是阵列会受到怎样的伤害。也就是说，如果我将 getter 修改为：

public int[] getArray() {
    return Arrays.copyOf(arr, arr.length);
}

并将我的二传手保持为：

public void setArray(int[] arr) {
    this.arr = arr;
}

这对我的私人阵列来说怎么可能有风险。请举例说明。 相关：Getters and setters for arrays

Answer 1

如果你保持你的 setter 为：

public void setArray(int[] arr) {
    this.arr = arr;
}

setter 的调用者持有对存储在您的类实例中的相同数组实例的引用，并且可以直接对其进行修改。

YourClass obj = new YourClass ();
int[] arr = new int[] {1,2,3};
obj.setArray (arr);
arr[0] = 5; // this will modify the array stored inside obj

如果您也可以在 setter 中创建数组的副本，则可以解决此问题：

public void setArray(int[] arr) {
    this.arr = Arrays.copyOf(arr, arr.length);
}

对于可变引用类型数组的更一般情况（与原始 int 数组示例不同），即使您阻止修改私有数组，仍然可以修改其引用保存在数组中的对象在你的班级之外（除非你的 setter 和 getter 也复制它们）。