java - 警告记录安全信息

Question

我非常担心人们会将 secret 信息记录到服务器日志中。我在生产中看到了服务器日志。一些开发人员不小心记录了与安全相关的日志password, clientId, clientSecret 等信息

有没有什么方法，比如 Eclipse 插件或任何工具，可以在编写代码时警告开发人员？

 `ex : log.info("usernam = " + username + "password = " + password) ;` // 
Warn that confidential info is getting logged.

我做了一些研究...我见过像 sonarLint 和 FindBug 这样的工具

但是那些插件无法解决我的问题。

Answer 1

SonarLint 提供规则 S2068: Credentials should not be hard-coded ，它的目标是使用硬编码凭据，它似乎接近您要实现的目标，但可能不足以满足您的需求。

但是，正如其他答案中所述，识别此类安全漏洞最终可能会很困难，而强有力的代码审查无疑是降低风险的好举措。

现在，如果您真的担心记录器的使用，已经知道潜在的问题以及可能泄漏的数据，我建议您为 SonarQube 编写自己的 Java 自定义规则。

自定义规则受 SonarLint 支持，一旦包含它的自定义插件部署在 SonarQube 服务器上，就可以在企业级应用。该解决方案将允许您明确定义您想要的目标，并根据您的需求和企业具体情况微调规则。编写这样的规则并不难，在以下教程中有记录:Custom rules for Java .