java - 如何保护 Class.forName("com.mysql.jdbc.Driver)？

Question

我对我们的应用程序进行了安全扫描，出现的安全问题之一是“未经完整性检查就下载代码”。这行风险点在 Class.forName("com.mysql.jdbc.Driver");

我还没有找到

1. 如何保护以上代码行？
2. 如何确保 forName("") 的参数不是我要加载的恶意类。

注意:我在我们的实时环境中使用 Java 1.7。我们没有适当的安全策略/SecurityManager。

编辑:使用的安全扫描是 Checkmarx。

Answer 1

与 recent JDBC drivers不再需要进行 Class.forName() 注册。如果驱动程序是旧的(不是 JDBC4 或更新版本)，请更新它，您将能够完全删除该行。

安全问题好像是指this这意味着攻击者已经可以访问类路径，因此也可以通过其他方式造成大量破坏。此时检查校验和的建议解决方案可能不会有太大帮助。