軟件開發(fā)編碼規(guī)范方案(已修改)
2025-05-14 05:04 本頁面
【正文】 軟件安全開發(fā)編碼規(guī)范1. 代碼編寫1) 開發(fā)人員應保證工程中不存在無用的資源（如代碼、圖片文件等）。2) 代碼中每個類名上的注釋必須留下創(chuàng)建者和修改者的名字。3) 每個需要import的類都應使用一行import聲明，不得使用import xxx.*。4) ()僅在調(diào)試時使用，正式代碼里不應出現(xiàn)。5) 開發(fā)人員編寫代碼時應遵循以下命名規(guī)則：l Package 名稱應該都是由一組小寫字母組成；l Class 名稱中的每個單詞的首字母必須大寫；l Static Final 變量的名稱全用大寫，并且名稱后加注釋；l 參數(shù)的名稱必須和變量的命名規(guī)范一致；l 使用有意義的參數(shù)命名，如果可能的話，使用和要賦值的字段一樣的名稱。6) 代碼應該用unix的格式，而不是windows的。7) exit 除了在 main 中可以被調(diào)用外，其他的地方不應被調(diào)用。8) 代碼中應盡量使用interfaces，不要使用abstract類。9) 在需要換行的情況下，盡量使用 println 來代替在字符串中使用的\n。10) 涉及HTML的文檔， transitional文件類型，其中所有HTML標簽都應關(guān)閉。11) 在HTML、JavaScript、XML代碼中，縮進應為兩個空格，不得使用Tab。12) HTML標簽的name和id屬性的命名方式應與Java變量名相同。13) 在需要經(jīng)常創(chuàng)建開銷較大的對象時，開發(fā)人員應考慮使用對象池。14) 在進行l(wèi)og的獲取時開發(fā)人員應盡量使用isXXXEnabled。15) log的生成環(huán)境上盡量避免輸出文件名和行號。16) 產(chǎn)品中不要包含后門代碼，隔離系統(tǒng)中的后門代碼，確保其不能出現(xiàn)在產(chǎn)品中。作為一種特殊的調(diào)試代碼，后門訪問代碼是為了使開發(fā)者和測試工程師訪問一部分終端用戶不能訪問的程序代碼。但是，如果后門代碼被留到產(chǎn)品中，對攻擊者來說，它就是一條不需要通過正常安全手段來攻陷系統(tǒng)的通路。2. JAVA安全遵循下面列出的準則有利于編寫更加安全的代碼。但是總體來說，這些準則不能對安全性做出任何保證。遵循這些準則可能好的實踐，但是即使遵循了這些準則，寫出的代碼仍然可能是不安全的。風險永遠存在，不管在編寫代碼時是如何的警覺。這些準則的目標，不是為了保證代碼的安全性，而是為了消除若干特定類型攻擊帶來的風險。遵循這些準則，某些特定類型的攻擊將無法實現(xiàn)；但是其它類型的攻擊仍然可能成功。因此遵循這些準則僅僅是安全的第一步。當書寫可能和非守信鏈接或混用的代碼時，應當仔細的考慮如下準則：n 靜態(tài)字段n 縮小作用域n 公共方法和字段n 保護包n 盡可能使對象不可變（immutable）n 序列化n 清除敏感信息1) 靜態(tài)字段避免使用非final的公共靜態(tài)變
公司管理相關(guān)推薦
鄂ICP備17016276號-1