Java安然風(fēng)險(xiǎn)是重所周知的，可是您是不是體味一些開(kāi)源Java框架的安然標(biāo)題問(wèn)題呢?例如，Struts、Hibernate、JavaEE。哪個(gè)框架最安然，又有哪些辦法可以進(jìn)步它們的安然性?
只要開(kāi)辟者當(dāng)真進(jìn)修，良多開(kāi)源Java框架都可以幫忙完成利用開(kāi)辟?？蚣芸梢赃M(jìn)步開(kāi)辟者出產(chǎn)力，可是大年夜大都人都必需顛末足夠的進(jìn)修過(guò)程，才能闡揚(yáng)框架的真正感化。CAST比來(lái)發(fā)布了一份陳述，此中顯示最風(fēng)行的開(kāi)源Java框架是Struts、JavaEE、Hibernate和Spring。但是，沒(méi)有一種框架供給了足夠的安然性，或包管完美無(wú)瑕的代碼。
為了尋覓最安然的框架，CAST查詢(xún)拜訪了496個(gè)利用法度的1.52億行代碼，成果發(fā)現(xiàn)最大年夜的標(biāo)題問(wèn)題是，大年夜部門(mén)利用實(shí)際上都有弊端建設(shè)。我其實(shí)不肯定這些統(tǒng)計(jì)成果是不是可以揣度出其他一些查詢(xún)拜訪成果，可是這個(gè)成果凸起了培訓(xùn)的首要性，只有經(jīng)由過(guò)程培訓(xùn)才能閃開(kāi)辟者知道若何準(zhǔn)確利用所選擇的框架。
任何利用開(kāi)辟的打算階段都應(yīng)當(dāng)肯定一組特定的安然需求，如身份驗(yàn)證、授權(quán)和加密編制，使開(kāi)辟團(tuán)隊(duì)可以或許選擇最合適這些需求的框架。并且，有可能需要利用多個(gè)框架才能撐持所有需求，可是如許可能增加利用法度的整合難度。
我小我覺(jué)得，利用好的框架確切可以進(jìn)步編碼質(zhì)量和削減Bug數(shù)量。CAST陳述顯示，不利用任何框架的利用法度會(huì)呈現(xiàn)各類(lèi)質(zhì)量標(biāo)題問(wèn)題。影響框架選擇的其他身分包含文檔質(zhì)量，出格是安然API的文檔，因?yàn)樗鼈兛赡芎苁菑?fù)雜，明顯有嚴(yán)格的利用要求。另外一個(gè)標(biāo)題問(wèn)題是框架用戶(hù)社區(qū)的響應(yīng)速度，因?yàn)檫@是獲得幫忙和撐持的首要來(lái)歷。
要進(jìn)步框架安然性，有時(shí)需要點(diǎn)竄其他人的代碼，而這是很是難的。他們發(fā)布的任何更新或補(bǔ)丁都可能籠蓋您所作的點(diǎn)竄，或影響它們的行動(dòng)。假定您發(fā)現(xiàn)它很首要，那么必需查抄所有措置用戶(hù)輸進(jìn)及利用進(jìn)口的代碼。輸進(jìn)是不是有效?是不是措置了所有特別字符或特別值?假定沒(méi)有，那么您必需本身增加驗(yàn)證和過(guò)濾功能，包管傳遞到利用法度的數(shù)據(jù)必然是安然的。
在利用任何第三方代碼或利用法度時(shí)，您必需緊跟供給商或Bug列表，及時(shí)體味所有安然警報(bào)。例如，Aspect Security的研究人員發(fā)現(xiàn)，Spring框架的“表達(dá)式說(shuō)話”功能有一個(gè)缺點(diǎn)，它承諾履行長(zhǎng)途代碼，可能完全粉碎響利用法度。這個(gè)標(biāo)題問(wèn)題很難解決，今朝的建議是封鎖表達(dá)式說(shuō)話特點(diǎn)。假定開(kāi)辟者不體味這些縫隙，那么他們的利用法度就有可能沒(méi)法避免這些報(bào)復(fù)打擊。開(kāi)辟團(tuán)隊(duì)?wèi)?yīng)當(dāng)有一名成員負(fù)責(zé)跟蹤編程說(shuō)話及開(kāi)辟東西的安然更新，并且他要知道若何措置警報(bào)和首要補(bǔ)丁更新。