声纳问题：确保该记录器的配置是安全的

Question

我在声纳上的代码有以下问题：

确保此记录器的配置是安全的。

我写的代码是：

public static final Logger logger = Logger.getLogger("logger");
if (logLevel.equalsIgnoreCase("info"))
    logger.setLevel(Level.INFO);
else
    logger.setLevel(Level.ALL);

它在记录器上向我显示此错误。设置级别调用。

我如何解决这些问题？

Answer 1

根据SonarQube规则，此规则标记启动记录器配置的审查代码。

目标是指导安全代码审查。此外，没有办法通过代码修复它，相反，您应该问问自己是否：

• 未经授权的用户可能会访问日志，要么是因为它们存储在不安全的位置，要么是因为应用程序允许访问它们。
• 日志包含正式服的敏感信息。当记录器处于调试模式时，可能会发生这种情况。
• 日志可以无限制地增长。当用户每次执行操作时都将附加信息写入日志，并且用户可以根据需要多次执行该操作时，就会发生这种情况。
• 日志没有包含足够的信息来理解攻击者可能造成的损害。记录器模式（信息、警告、错误）可能会过滤掉重要信息。他们可能不会打印上下文信息，如事件的精确时间或服务器主机名。
• 日志仅存储在本地，而不是备份或复制。

如果你对这些问题中的任何一个回答是肯定的，你就处于危险之中。

有关安全日志项目的更多信息，请查看owasp页面