FindBugs规则(中文版111).doc_findbugs中文版,findbugs规则资源-CSDN下载

需积分: 9 20 浏览量 2019-11-20 20:11:12 上传评论收藏 457KB DOC 举报

FindBugs是一款静态代码分析工具，它用于检测Java代码中的潜在缺陷。中文版的FindBugs规则文档提供了关于代码质量的多个方面的指导，包括安全、实验性等方面的问题。以下是这些规则的详细解释： 1. Dm: Hardcoded constant database password (DMI_CONSTANT_DB_PASSWORD) 这个规则警告开发人员不要在代码中硬编码数据库密码。硬编码的密码使得源代码泄露时，数据库的安全性受到威胁。最佳实践是将密码存储在安全的配置文件中，或者使用环境变量。 2. Dm: Empty database password (DMI_EMPTY_DB_PASSWORD) 创建数据库连接时未设置密码是一种安全隐患。不设置密码意味着数据库没有基本的保护，容易被未经授权的访问者利用。应始终确保数据库连接具有安全的凭证。 3. HRS: HTTP cookie formed from untrusted input (HRS_REQUEST_PARAMETER_TO_COOKIE) 此规则指出，代码中使用不受信任的HTTP参数构建HTTP Cookie可能会导致安全风险。攻击者可能操纵这些参数，注入恶意数据，从而影响用户的会话或系统安全。应使用安全的方式处理用户输入，并验证所有用于生成Cookie的数据。 4. HRS: HTTP Response splitting vulnerability (HRS_REQUEST_PARAMETER_TO_HTTP_HEADER) 这个规则提醒开发者，直接将HTTP参数写入HTTP头可能导致HTTP响应拆分漏洞。这允许攻击者控制HTTP响应的结构，执行跨站脚本（XSS）攻击或其他恶意操作。应过滤或转义用户输入，避免直接放入HTTP头。 5. SQL: Nonconstant string passed to execute method on an SQL statement (SQL_NONCONSTANT_STRING_PASSED_TO_EXECUTE) 动态构建SQL语句可能引发SQL注入攻击。通过使用预编译的语句（如PreparedStatement）和参数化查询，可以有效地防止这类攻击。 6. XSS: JSP reflected cross site scripting vulnerability (XSS_REQUEST_PARAMETER_TO_JSP_WRITER) 直接将HTTP参数写入JSP输出会导致反射型XSS漏洞。攻击者可以注入恶意脚本，影响其他用户。为避免这种情况，应在将用户输入显示在页面上之前进行适当的转义和验证。 7. Experimental: LG: Potential lost logger changes due to weak reference in OpenJDK (LG_LOST_LOGGER_DUE_TO_WEAK_REFERENCE) OpenJDK的Logger类使用弱引用可能导致日志配置丢失。如果代码依赖于特定的日志配置，但在方法结束时没有保持对Logger的强引用，那么在垃圾回收后，配置可能会丢失。建议使用强引用或确保在需要的地方重新初始化Logger。 8. Experimental: OBL: Method may fail to clean up stream or resource (OBL_UNSATISFIED_OBLIGATION) 方法可能没有正确清理流、数据库连接等资源。应当使用try/finally块或try-with-resources语句确保资源在方法退出时被正确关闭。忽略资源清理可能导致资源泄漏，影响性能和系统稳定性。 FindBugs规则旨在帮助开发者识别和修复代码中的潜在问题，提高代码质量和安全性。遵循这些规则能够降低软件的安全风险，提升软件的可靠性和可维护性。在开发过程中，结合持续集成和静态代码分析工具，如FindBugs，可以帮助团队及时发现并修复这些问题，从而提高整体的软件质量。

资源推荐

资源详情

资源评论

FindBugs1.3.9 规则整理

 中把影响代码质量分为以下几个部分：

关于代码安全性防护

序号



备注





 !" !#$"%&'

代码中创建 # 的密码时采用了写死的密码。

(

))$!*#$"%&'

创建数据库连接时没有为数据库设置密码，这会使数据库没有必要的保护。

+

&!!$,--

&&)./)!$"&")!)&!0)'

此代码使用不受信任的 !!$ 参数构造一个 !!$,。

1

&!!$&2322

&&)./)!$"&")!)&!!!$)")&'

在代码中直接把一个 !!$ 的参数写入一个 !!$ 头文件中，它为 !!$ 的响应暴

露了漏洞。

4

.5 67.5

.5   !" !!& 8$")!)9)/!)'

该方法以字符串的形式来调用 .5 的 6 方法，它似乎是动态生

成 .5 语句的方法。这会更容易受到 .5 注入攻击。

:

9;$<322

9&)./)!$"&")!)&!;$%&!)&'

在代码中在 ;$ 输出中直接写入一个 !!$ 参数，这会造成一个跨站点的脚本漏

洞。

)62

序号



备注



58$2227,-

;0585!588)&/)!%)"0&))&) )'

;0 的引入了一种潜在的不兼容问题，特别

是，=3225 的行为改变时。它现在使用内部弱引

用，而不是强引用。–2 配置改变，它就是丢失对 2 的引用，

这本是一个合理的变化，但不幸的是一些代码对旧的行为有依赖关系。

这意味着，当进行垃圾收集时对 2 配置将会丢失。例如：

235'7)6>

52?55@@'A

2222''ABB2272

C

2/$2-2'ABB7227

2C

该方法结束时 2 的引用就丢失了，如果你刚刚结束调用

5 方法后进行垃圾回收，2 的配置将会丢失（因为只有

保持记录器弱引用）。

23EF'7)6>

5'ABBC27272

'ABB2C2

55@@'-@@'ABB7

G27C26

(

#57-22

#5/ "!)#58"! '

这种方法可能无法清除（关闭，处置）一个流，数据库对象，或其他资

源需要一个明确的清理行动。

一般来说，如果一个方法打开一个流或其他资源，该方法应该使用 B

C22 块来确保在方法返回之前流或资源已经被清除了。这种错误模式

基本上和 $) !&)" 和

&$) "!"#")&)/&) 错误模式相同，但是是在不同在

静态分析技术。我们正为这个错误模式的效用收集反馈意见。

# 代码实现中的一些坏习惯

序号

Description

备注



"=C2

"&)"!))$!*;"&5)) !&*'

调用 putNextEntry()方法写入新的 jar 文件条目时立即调用

closeEntry()方法。这样会造成 JarFile 条目为空。

(

"HC2

"&)"!))$!*I$5)) !&*'

调用 putNextEntry()方法写入新的 zip 文件条目时立即调用

closeEntry()方法。这样会造成 ZipFile 条目为空。

+

#)J277277-



#)./"5)!/5%&0&"55#;)!'

equals(Object o)方法不能对参数 o 的类型做任何的假设。比较此对象与

指定的对象。当且仅当该参数不为 null，并且是表示与此对象相同的类型的

对象时，结果才为 true。

1

#&=2

&" /) 5* )'

随机创建对象只使用过一次就抛弃

4

#!7,--#!8 ))0'

检查位操作符运行是否合理

32K%!)5)!)'LM'

-%!)5)!)3N7-

)37%!)5)!)3N

GO?MG-GLMG

:

 2222C2

7 '

按照惯例，实现此接口的类应该使用公共方法重写 =2（它是受保

护的），以获得有关重写此方法的详细信息。此接口不包含 2方法。因

此，因为某个对象实现了此接口就克隆它是不可能的N应该实现此接口的类应

该使用公共方法重写 =2

P

 27222'

  /$)&"55'

一个非 C2 类型的类定义了 2'方法而没有调用 2'方法。

例如：# 扩展自 "，如果 # 中 2 方法调用了 2（），而 " 中

的 2 没有调用 2'，就会造成结果类型不准确。要求 " 的

2 方法中调用 2'方法。

Q

 2C2'G222

 $5)) !5 )#/! !5 )"#5)'

类中定义了 2 方法但是它没有实现 22 接口

R

"2C3!'7

"#!&"!)5'

抽象类中定义了多个 !'方法，正确的是覆写 2 中的

! 方法，方法的参数为 = 类型，如下例：

!!'S比较此对象与指定对象的顺序。

M

3!'7C)5 #;)!'

类中定义了多个 !'方法，正确的是覆写 2 中的

! 方法，方法的参数为 = 类型



)776)8!&$'

方法可能抛出异常

(

)776)8!8 &)'

方法可能忽略异常

+

G3"22222

/ 8&)T)"55!5)"&55)! '

不要用 3"22 方法去 2 一个集合

1

$22722$322,

$&)"!)5"5")& )$&T5)8)'

类加载器只能建立在特殊的方法体内

4

73,6')9!'

在方法中调用 6'语句，考虑用 &)6 来代替

:

73,72H)6

&/  "5I)& )9!'

在方法中调用了 2H)6或者

&2H)6 方法，因为这样做是很危险的。

P

)-??O?

)$"& 8$"&")!)&!& 8%!).'

用??或者O?方法去比较  类型的参数

Q

)-=??O?

)$"& 8!& 8%!).'

用??或者！?去比较  类型的对象

剩余61页未读，继续阅读

评论收藏

内容反馈

栗超

粉丝: 60

FindBugs规则(中文版111).doc

FindBugs规则整理_中文版

FindBugs规则整理_中文版.pdf

中文版-FindBugs规则整理

findbugs3.0中文说明

用FindBugs提高代码质量.doc

findbugs工具测试java实验报告

FindBugs规则整理_中文版.rar

专题讲座2021-2022年人教版高中英语111单词默写中文版.doc

findbugs-1.3.9.tar.zip

findbugs-1.3.9.tar.gz + protobuf-2.5.0.tar.gz +snappy-1.1.1.tar.

findbugs-1.3.9.tar.gz

findbugs_eclipse_downcc.zip

findbugs-noUpdateChecks-3.0.1.tar.gz

findbugs-3.0.0.tar.gz

maven-findbugs-plugin-1.3.jar

findbugs压缩包+findbugs.jar+findbugs-ant.jar

sonar-findbugs-plugin-3.10.0.jar

sonar-findbugs-plugin-3.11.1.jar

findbugs-annotations-1.3.9-1-API文档-中文版.zip

findbugs.jar+findbugs-ant.jar

findbugs-3.0.1.tar.gz

sonar-findbugs-plugin-4.3.0.jar

PyPI 官网下载 | pantsbuild.pants.contrib.findbugs-1.2.0dev9.tar.gz

maven-findbugs-plugin-1.3.1.jar

SonarQube的FindBugs插件sonar-findbugs-plugin.jar，包含FindBugs Security Audit等规则

maven-findbugs-plugin-1.1.jar

maven-findbugs-plugin-0.9.2.jar

Selenium - WebDriver 操作

添翼虎打字测试软件及源程序

最新资源