軟件開發(fā)編碼規(guī)范方案-文庫吧資料
2025-05-08 05:04本頁面
【正文】 kerObjectOutputStream hoos = new HackerObjectOutputStream()。....private synchronized void writeObject(ObjectOutputStream stream) {...(internalArray)。下面示例說明了這個問題。注意默認(rèn)序列化不會向DataInput/DataOuput字節(jié)數(shù)組方法暴露私有字節(jié)數(shù)組字段。如果一個類定義了自己的序列化方法，它就不能向任何DataInput/DataOuput方法傳遞內(nèi)部數(shù)組。資源，如文件句柄，如果不被聲明為transient，該對象在序列化狀態(tài)下可能會被修改，從而在被反序列化后獲取對資源的不當(dāng)訪問。7) 序列化對象在序列化后、反序列化之前，都不在Java運行時環(huán)境的控制之下，也因此不在Java平臺提供的安全控制范圍內(nèi)。構(gòu)造器和方法可以接受對象數(shù)組，比如說PubicKey數(shù)組，這個數(shù)據(jù)存儲到內(nèi)部之前應(yīng)當(dāng)克隆，并保存克隆后的數(shù)據(jù)，而不是直接將數(shù)組引用賦給同樣類型的內(nèi)部變量。在方法調(diào)用返回時，返回數(shù)據(jù)的拷貝而不要返回數(shù)組。這個不可變慣例的變型，在這兒提出是因為是個常見錯誤。此外，不可變的對象因為不用上鎖所以能夠提高并發(fā)性。如果對象必須改變，使得它們可以克隆并在方法調(diào)用時返回副本。u 防止包訪問：可以通過限制包訪問但同時僅賦予特定代碼訪問權(quán)限防止不可信任代碼對包成員的訪問。...=Package1 [,Package2,...,Packagen]...當(dāng)檢測到代碼試圖在包內(nèi)定義新類時，類裝載器的defineClass方法會拋出異常，除非代碼被賦予以下權(quán)限：... RuntimePermission(defineClassInPackage.+package)...b. 另一種方式是通過將包放到封閉的JAR（sealed Jar）文件里。}4) 保護包有時需要整體上保護一個包以避免不可信任代碼的訪問，本節(jié)描述了一些防護技術(shù)：u 防止包注入：如果不可信任代碼想要訪問類的包保護成員，可能通過在被攻擊的包內(nèi)定義自己的新類用以獲取這些成員的訪問權(quán)的方式。參考如下代碼段，該代碼段中不可信任代碼可能修改TimeZone的值：private static TimeZone defaultZone = null。在這種方式下，必要時可以增加集中的安全檢查。檢查包訪問權(quán)限成員（packageprivate）能否改成私有成員（private），保護訪問成員（protected）可否改成包訪問權(quán)限成員（packageprivate）/私有成員（private）等等。一般地，應(yīng)謹(jǐn)慎使用可變的靜態(tài)狀態(tài)，因為這可能導(dǎo)致設(shè)想中應(yīng)該相互獨立的子系統(tǒng)之間發(fā)生不曾預(yù)期的交互。因此遵循這些準(zhǔn)則僅僅是安全的第
公司管理相關(guān)推薦
鄂ICP備17016276號-1