Java：我们通常不希望向用户显示错误堆栈跟踪中的哪些信息？

Question

我是java的新手，并且对错误堆栈跟踪引发的错误格式化并不熟悉，该错误跟踪随后被显示给我的Web应用html" target="_blank">程序的最终用户。

我对Oracle数据库的经验是，错误堆栈包含内部信息，例如模式和过程名称以及行号，这些信息虽然对调试很有用，但我希望阻止用户看到。这是一个例子：

java.sql.SQLException : ORA-20011: Error description here
ORA-07894: at "NAME_OF_SCHEMA.PROCEDURE_NAME", line 121
ORA-08932: at line 10

我要显示给用户的字符串是Error description here。我可以使用正则表达式来提取此字符串，因为我知道（1）此字符串始终位于第一行，因此我可以提取错误堆栈跟踪的第一行，并且（2）此字符串始终以Error结尾开头和结尾的线。[Oracle用户注意（我不想误导您）：以上内容仅在使用RAISE_APPLICATION_ERROR且错误字符串以开头的情况下适用Error，否则文本Error不存在。

我对Java的问题是：

（1）是否有潜在的敏感内容，您不希望用户在错误堆栈中看到？如果是这样，该怎么办？例如，文件路径，服务器名称/ IP等。

（2）是否有我可以用来提取非敏感信息的Java错误堆栈跟踪的任何格式设置规则？或者，其他人如何解决这个问题？

更新1：

感谢到目前为止的所有回复，它们对您有所帮助。尽管许多人评论使用诸如getUserFriendlyMessage()将错误映射到有用的用户消息的功能，但我想知道是否有人可以扩展此映射。也就是说，对于常见错误（SQL，I
/
O等），可以使用什么“可靠”标识符来搜索此错误堆栈以标识发生的错误的类型，然后建议使用哪种相应的文本字符串？映射到此错误消息以显示给用户？@Adarshr在下面的回复是一个好的开始。例如，

Identified Expected   If found in error stack, display this friendly msg to user
-------------------   ----------------------------------------------------------
SQLException          An error occurred accessing the database. Please contact support at [e-mail].
IOException           Connection error(?). Please check your internet connection.

假设不需要解决与编译相关的错误，而是集中解决最终用户在正常使用过程中可能遇到的那些错误。作为参考，下面是运行时错误消息的列表：http
:
//mindprod.com/jgloss/runerrormessages.html#IOEXCEPTION

或者，是否可以仅使用堆栈跟踪的第一行显示给用户？这个链接有点像我在上面的原始问题中所得到的：

http://www3.ntu.edu.sg/home/ehchua/programming/howto/ErrorMessages.html

例如，如果Exception始终使用标识符，则只需提取介于Exception第一行和第一行结尾之间的文本即可。我不知道我们是否可以Exception一直依赖在那里。

Answer 1

您不应该向用户展示任何这种愚蠢的东西。对于大多数人来说这毫无意义，也无济于事。如您所怀疑，它还暴露了实施的内部结构，这些内部结构可能暗示恶意用户可能使用的漏洞。

相反，您应该捕获异常，将其记录下来，并向用户显示更易理解的错误消息。您可以getMessage()用来提取异常的消息部分。如果该异常没有消息，则显示诸如“没有可用的详细信息”之类的内容。

更新：

根据问题更新，我有一些评论。首先，我将使用户与系统的任何内部组件完全隔离，这既对用户友好，又出于安全考虑。（例如，即使知道您正在使用java.sql程序包，也可能向聪明的黑客暗示漏洞。）因此，在向用户显示任何内容时，请不要使用异常消息，堆栈跟踪的第一行或类似内容。
。

其次，您应该将所有错误从异常级别（在代码中遇到的错误）映射到用户正确html" target="_blank">抽象级别的消息。正确的方法取决于系统的内部以及引发异常时用户可能试图执行的操作。这可能意味着将您的系统分为多个层，以便每个捕获到异常的层都将其转换为更高抽象层的异常。Java异常可以包装其他异常（原因）。例如：

public boolean copyFile(File source, File destination) throws CopyException {
    try {
        // lots of code
        return true;
    } catch (IOException e) {
        throw new CopyException("File copy failed", e);
    }
}

然后可以在User类的更高级别使用它：

public boolean shareFile(File source, User otherUser) throws ShareException {
    if (otherUser.hasBlocked(this) {
        throw new ShareException("You cannot share with that user.");
    }
    try {
        return copyFile(source, otherUser.getSharedFileDestination(source));
    } catch (CopyException e) {
        throw new ShareException("Sharing failed due to an internal error", e);
    }
}

（我希望很明显，以上代码旨在说明将异常转换为更高抽象级别的想法，而不是建议您在系统中使用的代码。）

您想要处理这样的事情（而不是通过某种方式来处理消息和/或堆栈跟踪）的原因是，异常（例如，带有消息“权限被拒绝”的IOException）可能对用户（以及您的系统）。