軟件開(kāi)發(fā)編碼規(guī)范方案(編輯修改稿)
2025-05-29 05:04 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 可變的對(duì)象因?yàn)椴挥蒙湘i所以能夠提高并發(fā)性。不要返回包含敏感數(shù)據(jù)的內(nèi)部數(shù)組引用。這個(gè)不可變慣例的變型，在這兒提出是因?yàn)槭莻€(gè)常見(jiàn)錯(cuò)誤。即使數(shù)組中包含不可變的對(duì)象比如說(shuō)是字符串，也要返回一個(gè)副本，這樣調(diào)用者不能修改數(shù)組中包含的到底是哪個(gè)字符串。在方法調(diào)用返回時(shí)，返回?cái)?shù)據(jù)的拷貝而不要返回?cái)?shù)組。6) 不要直接在用戶提供的數(shù)組里存儲(chǔ)這是不可變慣例的另一個(gè)變型。構(gòu)造器和方法可以接受對(duì)象數(shù)組，比如說(shuō)PubicKey數(shù)組，這個(gè)數(shù)據(jù)存儲(chǔ)到內(nèi)部之前應(yīng)當(dāng)克隆，并保存克隆后的數(shù)據(jù)，而不是直接將數(shù)組引用賦給同樣類型的內(nèi)部變量。如果缺少這個(gè)步驟，在使用了有問(wèn)題的構(gòu)造器創(chuàng)建了對(duì)象后，用戶對(duì)外部數(shù)組所作的任何修改都將更改對(duì)象的內(nèi)部狀態(tài)，盡管對(duì)象應(yīng)該是不可變的。7) 序列化對(duì)象在序列化后、反序列化之前，都不在Java運(yùn)行時(shí)環(huán)境的控制之下，也因此不在Java平臺(tái)提供的安全控制范圍內(nèi)。在實(shí)現(xiàn)接口Serializable時(shí)務(wù)必將以下事宜牢記在心：u transient直接引用系統(tǒng)資源的句柄和包含了地址空間相關(guān)信息的字段應(yīng)當(dāng)使用關(guān)鍵字transient修飾。資源，如文件句柄，如果不被聲明為transient，該對(duì)象在序列化狀態(tài)下可能會(huì)被修改，從而在被反序列化后獲取對(duì)資源的不當(dāng)訪問(wèn)。u 特定類的序列化/反序列化方法為了確保反序列化對(duì)象不包含違反一些不變量集合的狀態(tài)，類應(yīng)該定義自己的反序列化方法并使用接口ObjectInputValidation驗(yàn)證這些變量。如果一個(gè)類定義了自己的序列化方法，它就不能向任何DataInput/DataOuput方法傳遞內(nèi)部數(shù)組。所有的DataInput/DataOuput方法都能被重寫(xiě)。注意默認(rèn)序列化不會(huì)向DataInput/DataOuput字節(jié)數(shù)組方法暴露私有字節(jié)數(shù)組字段。如果Serializable類直接向DataOutput(write(byte [] b))方法傳遞了一個(gè)私有數(shù)組，那么黑客可以創(chuàng)建ObjectOutputStream的子類并覆蓋write(byte [] b)方法，這樣他可以訪問(wèn)并修改私有數(shù)組。下面示例說(shuō)明了這個(gè)問(wèn)題。示例類：public class YourClass implements Serializable {private byte [] internalArray。....private synchronized void writeObject(ObjectOutputStream stream) {...(internalArray)。...}}黑客代碼：public class HackerObjectOutputStream extends ObjectOutputStream{public void write (byte [] b) {Modify b
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1