java - jaxb:如何影响恶意代码的生成

Question

使用 SAST 工具进行静态代码分析，我们在 jaxb 生成的代码中获得了安全发现，声称在 getter 和 setter 方法中“将可变对象传递给不受信任的方法”(CWE-374)。建议是，在将对象的引用传递给调用者之前克隆对象。

但是我们如何处理生成代码中的此类问题呢？jaxb 中有选项吗？

Answer 1

我不知道会影响特定代码生成的自定义选项。

我知道有两个效果很好的选项:

1. 实现 JAXB 插件。该插件可以在发出标准生成的代码之前对其进行修改，也可以生成附加代码来实现所需的功能。有很多 JAXB 插件示例可以帮助您入门，但详细信息超出了 StackOverflow 上单个问题的范围。
2. 对生成的代码进行后处理，例如使用 Maven Replacer 插件。如果您可以编写一个正则表达式来命中您想要在生成的类中重写的代码，那么这将变得快速而简单。

我们目前使用这两种方法来管理我们生成的代码。

我们尚未实现的另一种可能性是向您有兴趣调整的方法添加注释(可以使用现有的开源 JAXB 插件来完成)并使用其他技术来影响代码/执行(例如注释处理器、AOP 工具)。