Java开发安全之：Unreleased Resource: Streams需确保流得到释放

原创

已于 2024-01-20 10:02:44 修改 · 1.1k 阅读

8 ·

CC 4.0 BY-SA版权

文章标签：

#java #安全 #开发语言

于 2024-01-20 09:57:14 首次发布

本文讨论了Java中`getResponseBytes()`可能导致的资源泄露问题，强调了不依赖finalize()回收资源的必要性，并推荐在finally代码段中处理资源释放，以防止DenialofService攻击。作者还提供了一个`safeClose()`函数来确保资源安全关闭。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

Overview

java 中的函数 getResponseBytes() 有时无法成功释放由 getInputStream() 函数分配的系统资源。

Details

程序可能无法成功释放某一项系统资源。在这种情况下，在某些程序路径上，所分配的资源未释放。资源泄露至少有两种常见的原因：

－错误状况及其他异常情况。

－未明确程序的哪一部份负责释放资源。

大部分 Unreleased Resource 问题只会导致常规软件可靠性问题，但如果攻击者能够故意触发资源泄漏，该攻击者就有可能通过耗尽资源池的方式发起 Denial of Service 攻击。

示例：下面的方法绝不会关闭它所打开的文件句柄。FileInputStream 中的 finalize() 方法最终会调用 close()，但是不能确定何时会调用 finalize() 方法。在繁忙的环境中，这会导致 JVM 用尽它所有的文件句柄。

private void processFile(String fName) throws FileNotFoundException, IOException {
 FileInputStream fis = new FileInputStream(fName); 
int sz; 
byte[] byteArray = new byte[BLOCK_SIZE]; 
while ((sz = fis.read(byteArray)) != -1) {
 processBytes(byteArray, sz); 
} 
}

Recommendations

1. 请不要依赖 finalize() 回收资源。为了使对象的 finalize() 方法能被调用，垃圾收集器必须确认对象符合垃圾回收的条件。但是垃圾收集器只有在 JVM 内存过小时才会使用。因此，无法保证何时能够调用该对象的 finalize() 方法。垃圾收集器最终运行时，可能出现这样的情况，即在短时间内回收大量的资源，