java 보안 인코딩 안내서: Mutability 가변성
private final Map extras = new HashMap<>();
public void op(Window window) {
Extra extra = extras.get(window);
}
op 방법은 윈도 대상을 받아서 키로 삼아 HashMap에서 대응하는value를 꺼냅니다.
만약에 이때 우리는 하나의 클래스 A가 윈도를 계승하고hash값과 equals가 다른 윈도 대상 B와 같다면 A라는 키를 사용하면 B라는 키가 저장한 데이터를 얻을 수 있습니다!
이 문제를 어떻게 해결합니까?
자바에는 특별한 HashMap: IdentityHashMap이 있습니다. 이 Map의 키와value는 equals 방법이 아닌 ==을 사용하기 때문에 위에서 발생하는 문제를 효과적으로 피할 수 있습니다.
private final Map extras = new IdentityHashMap<>();
public void op(Window window) {
Extra extra = extras.get(window);
}
만약 이러한 맵을 사용할 수 없다면, 변할 수 없는 대상을 키로 사용하거나 윈도우의 개인 변수를 사용할 수 있으며, 악성 공격자는 이 변수를 얻을 수 없다.
public class Window { /* pp */class PrivateKey { Window getWindow() { return Window.this; } } final PrivateKey privateKey = new PrivateKey();
private final Map extras =
new WeakHashMap<>();
...
}
public class WindowOps {
public void op(Window window) {
// Window.equals may be overridden,
// but safe as we don't use it.
Extra extra = extras.get(window.privateKey);
...
}
}
수정 가능한 속성을 직접 노출하지 마십시오. 만약 가변 클래스의 어떤 속성이 외부에 노출되어 사용되어야 한다면, 반드시 이 속성을private로 정의하고 wrapper 방법으로 포장해야 합니다.
만약 직접 폭로된다면 기본적으로 통제할 수 있는 권한이 없으며, 어떤 프로그램도 당신의 대상을 얻을 수 있다면 속성을 수정할 수 있다.다음 응용 방식을 고려하여,state를 수정하는 방법에 파라미터 검사와 권한 제어를 추가했습니다.
public final class WrappedState { //private immutable object private String state;
// wrapper method
public String getState() {
return state;
}
// wrapper method
public void setState(final String newState) {
this.state = requireValidation(newState);
}
private static String requireValidation(final String state) {
if (...) {
throw new IllegalArgumentException("...");
}
return state;
}
}
public static fields는 같은 변수로 설정되어야 합니다. 만약 당신이 클래스 변수라면, 이 변수가 누구에게도 수정되기를 원하지 않습니다. 그 변수를 설정final로 설정해야 합니다.
public class Files { public static final String separator = “/”; public static final String pathSeparator = “:”; } public static final field는 변할 수 없습니다. 클래스 변수가 public static final이면 이 변수는 반드시 변할 수 없습니다.
누가 물어볼 거예요. final로 정의됐는데 이미 변할 수 없는 거 아니에요?
사실은 그렇지 않다. 예를 들어final의List를 정의했다. 이list는 변할 수 없지만list 안의 값은 변할 수 있다.다음과 같이 가변 변수를 가변 변수로 수정해야 합니다.
import static java.util.Arrays.asList; import static java.util.Collections.unmodifiableList; … public static final List names = unmodifiableList(asList( “Fred”, “Jim”, “Sheila” )); JDK9에 도입된 of() 또는 ofEntries() 방법을 사용하면 수정할 수 없는 컬렉션을 직접 만들 수 있습니다.
public static final List names = List.of(“Fred”, “Jim”, “Sheila”); 용화대로 1번지http://www.kinghill.cn/LongHuaDaDao1Hao/index.html
이 내용에 흥미가 있습니까?
현재 기사가 여러분의 문제를 해결하지 못하는 경우 AI 엔진은 머신러닝 분석(스마트 모델이 방금 만들어져 부정확한 경우가 있을 수 있음)을 통해 가장 유사한 기사를 추천합니다:
다양한 언어의 JSONJSON은 Javascript 표기법을 사용하여 데이터 구조를 레이아웃하는 데이터 형식입니다. 그러나 Javascript가 코드에서 이러한 구조를 나타낼 수 있는 유일한 언어는 아닙니다. 저는 일반적으로 '객체'{}...
텍스트를 자유롭게 공유하거나 복사할 수 있습니다.하지만 이 문서의 URL은 참조 URL로 남겨 두십시오.
CC BY-SA 2.5, CC BY-SA 3.0 및 CC BY-SA 4.0에 따라 라이센스가 부여됩니다.