軟件開發(fā)編碼規(guī)范方案(已修改)
2025-05-14 05:04 本頁面
【正文】 軟件安全開發(fā)編碼規(guī)范1. 代碼編寫1) 開發(fā)人員應(yīng)保證工程中不存在無用的資源（如代碼、圖片文件等）。2) 代碼中每個(gè)類名上的注釋必須留下創(chuàng)建者和修改者的名字。3) 每個(gè)需要import的類都應(yīng)使用一行import聲明，不得使用import xxx.*。4) ()僅在調(diào)試時(shí)使用，正式代碼里不應(yīng)出現(xiàn)。5) 開發(fā)人員編寫代碼時(shí)應(yīng)遵循以下命名規(guī)則：l Package 名稱應(yīng)該都是由一組小寫字母組成；l Class 名稱中的每個(gè)單詞的首字母必須大寫；l Static Final 變量的名稱全用大寫，并且名稱后加注釋；l 參數(shù)的名稱必須和變量的命名規(guī)范一致；l 使用有意義的參數(shù)命名，如果可能的話，使用和要賦值的字段一樣的名稱。6) 代碼應(yīng)該用unix的格式，而不是windows的。7) exit 除了在 main 中可以被調(diào)用外，其他的地方不應(yīng)被調(diào)用。8) 代碼中應(yīng)盡量使用interfaces，不要使用abstract類。9) 在需要換行的情況下，盡量使用 println 來代替在字符串中使用的\n。10) 涉及HTML的文檔， transitional文件類型，其中所有HTML標(biāo)簽都應(yīng)關(guān)閉。11) 在HTML、JavaScript、XML代碼中，縮進(jìn)應(yīng)為兩個(gè)空格，不得使用Tab。12) HTML標(biāo)簽的name和id屬性的命名方式應(yīng)與Java變量名相同。13) 在需要經(jīng)常創(chuàng)建開銷較大的對象時(shí)，開發(fā)人員應(yīng)考慮使用對象池。14) 在進(jìn)行l(wèi)og的獲取時(shí)開發(fā)人員應(yīng)盡量使用isXXXEnabled。15) log的生成環(huán)境上盡量避免輸出文件名和行號。16) 產(chǎn)品中不要包含后門代碼，隔離系統(tǒng)中的后門代碼，確保其不能出現(xiàn)在產(chǎn)品中。作為一種特殊的調(diào)試代碼，后門訪問代碼是為了使開發(fā)者和測試工程師訪問一部分終端用戶不能訪問的程序代碼。但是，如果后門代碼被留到產(chǎn)品中，對攻擊者來說，它就是一條不需要通過正常安全手段來攻陷系統(tǒng)的通路。2. JAVA安全遵循下面列出的準(zhǔn)則有利于編寫更加安全的代碼。但是總體來說，這些準(zhǔn)則不能對安全性做出任何保證。遵循這些準(zhǔn)則可能好的實(shí)踐，但是即使遵循了這些準(zhǔn)則，寫出的代碼仍然可能是不安全的。風(fēng)險(xiǎn)永遠(yuǎn)存在，不管在編寫代碼時(shí)是如何的警覺。這些準(zhǔn)則的目標(biāo)，不是為了保證代碼的安全性，而是為了消除若干特定類型攻擊帶來的風(fēng)險(xiǎn)。遵循這些準(zhǔn)則，某些特定類型的攻擊將無法實(shí)現(xiàn)；但是其它類型的攻擊仍然可能成功。因此遵循這些準(zhǔn)則僅僅是安全的第一步。當(dāng)書寫可能和非守信鏈接或混用的代碼時(shí)，應(yīng)當(dāng)仔細(xì)的考慮如下準(zhǔn)則：n 靜態(tài)字段n 縮小作用域n 公共方法和字段n 保護(hù)包n 盡可能使對象不可變（immutable）n 序列化n 清除敏感信息1) 靜態(tài)字段避免使用非final的公共靜態(tài)變
公司管理相關(guān)推薦
鄂ICP備17016276號-1