恶意代码漏洞-通过合并对可变对象的引用，可能会暴露内部表示

Question

我的dto类中有以下代码。

public void setBillDate(Date billDate) {
    this.billDate = billDate;
}

我在声纳中发现了一个错误，我不确定我到底做错了什么。

Malicious code vulnerability - May expose internal representation by incorporating reference to mutable object   

类是dto，方法是自动创建的setter方法。我做错了什么。如果有人能解释的话。这将是一个很大的帮助。

Answer 1

而且您也没有创建传入您是参数的Date的副本。因此，如果客户端代码将更改Date对象的值，它也会影响您的类。

解决方案是创建一份Date

public setBillDate(Date billDate){
   this.billDate = new Date(billDate.getTime());
}

Answer 2

我想知道为什么所有的解决方案都不考虑null。一个通用的空安全解决方案应该如下所示：

public void setBillDate(Date billDate) {
    this.billDate = billDate != null ? new Date(billDate.getTime()) : null;
}

Answer 3

使用该setter，用户可以无意中从外部修改日期实例

考虑这个

class MyClass {

   private Date billDate;


   public void setBillDate(Date billDate) {
      this.billDate = billDate;
   }

}

现在有人可以设置它

MyClass m = new MyClass();

Date dateToBeSet = new Date();
m.setBillDate(dateToBeSet); //The actual dateToBeSet is set to m

dateToBeSet.setYear(...); 
//^^^^^^^^ Un-intentional modification to dateToBeSet, will also modify the m's billDate 

为了避免这种情况，您可能需要在设置之前深度复制

public void setBillDate(Date billDate) {
    this.billDate = new Date(billDate.getTime());
}