簡介
在java編寫過程中,我們會使用到各種各樣的表達式,在使用表達式的過程中,有哪些安全問題需要我們注意的呢?一起來看看吧。
注意表達式的傳回值
我們在使用JDK庫的時候,一定要注意認真的讀一下JDK中方法的含義和它的傳回值。
有些傳回值可能表示這個操作是否成功,有的傳回值可能是方法操作的結果。我們看兩個常見的例子:
public void deleteFileWrong(){
File file= new File("/tmp/www.flydean.com.txt");
file.delete();
System.out.println("File delete success!");
}
public void deleteFileRight(){
File file= new File("/tmp/www.flydean.com.txt");
if(file.delete()){
System.out.println("File delete success!");
}
}
先看一個檔案删除的例子,delete方法是有傳回值的,是以我們在調用delete方法之後,一定要判斷一下傳回值,看是否删除成功。
再看一個常見的String中字元替換的例子:
public void stringReplaceWrong(){
String url="www.flydean.com";
url.replace("www","WWW");
System.out.println("replaced url..."+url);
}
public void stringReplaceRight(){
String url="www.flydean.com";
url=url.replace("www","WWW");
System.out.println("replaced url..."+url);
}
我們要記住,String是不可變的,是以它的replace方法,會傳回一個替換過後的String,但是原String是不變的,是以我們需要将傳回值重新指派。
注意避免NullPointerException
NullPointerException應該是最最常見的運作時異常了。怎麼避免這個異常呢?
我們要做的就是在調用object的方法時候,一定要判斷這個object是不是為空。
在JDK8之後,我們引入了Stream操作:
public void streamWrong(Collection<Object> collection){
collection.stream().filter(obj->obj.equals("www.flydean.com"));
}
Stream操作的過程中,我們需要注意stream中的元素是否為空。
有時候,我們可能覺得已經判斷是為空了,但是條件判斷不準确,導緻未知的異常,看下面這個例子:
public int countWrong(Collection<Object> collection, Object object){
int count=0;
if(collection ==null){
return count;
}
for(Object element: collection){
if((element ==null && object== null)
|| element.equals(object)){
count++;
}
}
return count;
}
這個例子是用來查找collection中到底有多少元素和object相同,如果兩者都為空,也記為相同。
但是上面的例子有一個漏洞,它沒有考慮element ==null 而 object !=null的情況,是以會導緻NullPointerException的生成。
我們需要這樣修改:
public int countRight(Collection<Object> collection, Object object){
int count=0;
if(collection ==null){
return count;
}
for(Object element: collection){
if((element ==null && object== null)
|| (element !=null && element.equals(object))){
count++;
}
}
return count;
}
數組相等的判斷
如果我們需要比較兩個數組是否相等,其實我們想比較的是兩個數組中的元素是否相等。
我們知道數組是一個特殊的Object,那麼數組對象也有一個equals方法,考慮下面的例子:
public boolean compareWrong(){
int[] array1 = new int[10];
int[] array2 = new int[10];
return array1.equals(array2);
}
傳回的結果是false,因為數組直接使用了Object中定義的equals方法,我們看下該方法的定義:
public boolean equals(Object obj) {
return (this == obj);
}
可以看到,該方法比較的是兩個位址是否相等。是以我們的到了false結果。
其實,我們可以使用Arrays.equals工具類中的方法來進行兩個數組的比較:
public boolean compareRight(){
int[] array1 = new int[10];
int[] array2 = new int[10];
return Arrays.equals(array1, array2);
}
基礎類型的封裝類間的比較
在java中,我們知道有一些基礎類型像boolean, byte,char, short, int他們會有相對應的封裝類型:Boolean,Byte,Character,Short,Integer等。
我們可以直接将基礎類型的值指派給封裝類型,封裝類型會自行進行轉換。
考慮下面的例子:
Boolean boolA=true;
Boolean boolB=true;
System.out.println(boolA==boolB);
結果是多少呢?
答案是true。為什麼兩個不同對象的比較會是true呢?
在回答這個問題之前,我們看一下字元串的比較:
String stringA="www.flydean.com";
String stringB="www.flydean.com";
System.out.println(stringA==stringB);
這個我們大家應該都知道,因為String有一個字元串常量池,直接從字元串常量建構的String對象,其實是同一個對象。
同樣的對于Boolean和Byte來說,如果直接從基礎類值建構的話,也是同一個對象。
而對于Character來說,如果值的範圍在u0000 to u007f,則屬于同一個對象,如果超出了這個範圍,則是不同的對象。
對于Integer和Short來說,如果值的範圍在-128 and 127,則屬于同一個對象,如果超出了這個範圍,則是不同的對象。
再考慮下面的例子:
Boolean boolA=true;
Boolean boolC=new Boolean(true);
System.out.println(boolA==boolC);
輸出的結果是false,因為boolC使用了new關鍵字,建構了一個新的對象。
集合中類型不比對
現在java集合可以通過指定類型,進而隻存儲特定類型的對象。考慮下面的一個例子:
public void typeMismatch(){
HashSet<Short> shortSet= new HashSet<>();
for(int i=0;i<10;i++){
shortSet.add((short)i);
shortSet.remove(i);
}
System.out.println(shortSet.size());
}
上面代碼我們定義了一個Short的集合,然後将0-9添加進去,接着我們又調用了remove方法把i從集合删除。
但是最後輸出結果是10,表明我們并沒有删除成功。為什麼呢?
看下HashSet的remove方法:
public boolean remove(Object o) {
return map.remove(o)==PRESENT;
}
remove方法的參數是Object,我們傳入的i是int類型的,跟short不比對,是以導緻删除失敗。
public void typeMatch(){
HashSet<Short> shortSet= new HashSet<>();
for(int i=0;i<10;i++){
shortSet.add((short)i);
shortSet.remove((short)i);
}
System.out.println(shortSet.size());
}
Asset的副作用
我們會使用Asset語句在代碼中做調試使用,在使用的過程中需要注意Asset語句不要對系統的業務邏輯産生副作用,也就是說即使Asset語句不運作,也不會修改代碼的業務邏輯。
看下面的例子:
public void assetWrong(ArrayList<Integer> list){
assert list.remove(0)>0;
}
上的代碼我們從list中删除第一個元素,并判斷删除的元素是否大于0.
上面的代碼如果assert語句不執行的話,會導緻業務邏輯也不執行,是以需要修改成下面這樣:
public void assetRight(ArrayList<Integer> list){
int result=list.remove(0);
assert result>0;
}
本文的例子:
learn-java-base-9-to-20/tree/master/security本文已收錄于 http://www.flydean.com/java-security-code-line-expresion/最通俗的解讀,最深刻的幹貨,最簡潔的教程,衆多你不知道的小技巧等你來發現!
歡迎關注我的公衆号:「程式那些事」,懂技術,更懂你!