恶意代码漏洞 - 字段应包保护

Question

Sonar 正在给我信息：

恶意代码漏洞 - 字段应该被包保护 静态数组FORMATS.

为什么这段代码被认为是恶意的？我有一个公共类来存储所有常量。

public class Constants
{
    /*
    all the public static final constants of primitive datatypes for which 
    there is no sonar warning.
    */
    public static final String[] FORMATS = new String[] {
        "yyyy-MM-dd HH:mm:ss.S z", 
        "yyyy-MM-dd HH:mm:ss.S"
}

Answer 1

可能是因为可以执行另一段代码：

Constants.FORMATS[0] = "SOME GARBAGE";

并破坏您的其余代码。

换句话说，你的数组是不变的，但不是它的内容。

替代品示例：

• 您可以将每种格式存储为单独的字符串常量
• 您可以改用不可变列表：public static final List<String> FORMATS = Collections.unmodifiableList(Arrays.asList("yyyy-MM-dd HH:mm:ss.S z", "yyyy-MM-dd HH:mm:ss.S"));

• 让它成为一种方法：

  public static String[] formats() {
    return new String[] { "yyyy-MM-dd HH:mm:ss.S z", "yyyy-MM-dd HH:mm:ss.S" };
  }
  

• 如果您确信 (i) 只有您自己的代码可以访问该类并且 (ii) 您/您的同事根本不会考虑重新分配其中一个值，请忽略该警告。