恶意代码漏洞-通过返回int的可变对象引用可能暴露内部表示[]

Question

我正面临一个问题，声纳，使用Java语言，下面的代码。声纳状态为“恶意代码漏洞——可能通过返回对可变对象的引用暴露内部表示”。

private int[] integerArray = {1, 2, 3, 4};

public int[] getIntegerArray()
{
    return integerArray;
}

所有带有“primitive”[]的arrya都是可变的吗？

如何解决这个问题，仍然返回int数组？

如果不是int[]，而是String[]、StringBuilder或AnyObject[]呢？解决方案是什么？

Answer 1

这里的问题是getIntegerArray（）方法的调用者可以更改其内容：

int[] arr = yourObject.getIntegerArray();
arr[0] = 12345;

System.out.println(yourObject.getIntegerArray()[0]); // prints 12345.

通常情况下，所有数组都是可变的——无论是原始元素还是引用元素——除非数组的长度为零。

如果需要返回数组，解决方案是在返回数组之前复制一个数组：

return Arrays.copyOf(integerArray, integerArray.length);

此解决方案适用于任何阵列。