恶意代码漏洞-可能通过返回对可变对象的引用来暴露内部表示-使用什么对象？

Question

我得到声纳报告的以下违规行为：可能通过返回对可变对象的引用来暴露内部表示。

这是因为我从getter返回html" target="_blank">字符串[]。

我知道问题是什么，以及如何解决它，但通过stackoverflow上的几个线程，我注意到字符串[]和日期似乎发生了这种情况，例如：

恶意代码漏洞-通过返回对可变对象的引用可能暴露内部表示

恶意代码漏洞-通过合并对可变对象的引用，可能会暴露内部表示

但考虑到发生这种情况的原因，即返回一个对象的引用，该对象的内部状态可能会被调用方更改。对于每个返回可变对象的getter，不应该引发这种冲突吗？

例如：

public List<String> getList() { return list; }

public Foo getFoo() { return foo; } //where foo is just a random object with getters and setters...

调用方可以更改返回对象的状态。声纳不应该报告同样的情况吗？

非常感谢，弗朗西斯科。

Answer 1

声纳不够聪明，无法知道物体是否可变。尤其是如果您返回的是列表，它无法判断您实际返回的是数组列表、不可变列表还是不可修改列表。所以它不会发出任何警告来避免误报泛滥。

另一方面，数组和日期是众所周知的标准类，是可变的，它可以安全地发出此警告。