java - 确保 Java 编码安全的预防措施

Question

关闭。这个问题需要多问 focused 。目前不接受答案。

---

想要改进此问题吗？更新问题，使其仅关注一个问题 editing this post .

已关闭 9 年前。

Improve this question

我希望收集一些使用 Java 进行安全编码的专业建议和预防措施。我已经在考虑其中的几个:

• 不应记录不需要的/过多的/敏感的信息。
• 参数化查询中应注意 SQL 注入(inject)，应使用 PreparedStatement或CallableStatement而不是Statement .
• 应谨慎释放所有资源(数据库连接、输入/输出流)。
• 在传播到上游调用者之前，应捕获并清理内部异常，因为它可能会泄露敏感信息。
• 完成后应该清除内存中的敏感信息，因为它可能会出现在核心转储中。
• 如果是进程间通信，敏感参数应加密。
• 应使用 private对于变量，除非有充分的理由不这样做。
• 应为敏感类提供复制方法。
• 应该优先选择静态工厂方法来构建对象，而不是公共(public)构造函数。
• 应避免序列化可能包含敏感信息的类。

感谢社区的任何补充。

Answer 1

我想到的另一个问题是，从 getter 方法返回时应该使用防御性副本。

如果您希望保护已发布的代码，您可以考虑类似 JET 的内容。虽然这不完全是你的问题所问的问题，但我想我只是提一下。