FindBugs引发由数组引起的名为EI_EXPOSE_REP的bug

Question

FindBugs引发一个名为EI_EXPOSE_REP的bug，其描述如下：

EI：可以通过返回对可变对象的引用来公开内部表示

返回对存储在对象字段之一中的可变对象值的引用将公开该对象的内部表示形式。如果实例由不受信任的代码访问，并且对可变对象的未经检查的更改会危及安全性或其他重要属性，则需要执行不同的操作。在许多情况下，返回对象的新副本是更好的方法。

class Person {
    private String[] hobbies;
    String[] getHobbies(){ return hobbies;}
    void setHobbies(String[] hobbies){ this.hobbies = hobbies;}
}

null

Answer 1

Findbugs（现在被Spotbugs取代）引发了一个安全问题。它不是bug，因为它本身不会产生不想要的行为。但是这种内部数据的公开可能会在以后的调用方方法中产生bug。

你猜对了，有两种方法可以保护你的吸气剂免受暴露：

• 返回具有arrays.copyOf(..)
的数组副本
• 使用collections.unmodifiableList(..)将其转换为“不可变”列表（您也可以使用List.of(..)，因为Java9)

在某些情况下，当您只有少量的写操作和大量的读操作时，CopyOnWriteArrayList类是一个很好的选择，而不是简单的不可变列表getter。

我想知道的是为什么just array会引发这个bug。
这只是一个警告。Findbugs在报表旁边显示严重级别。
对于安全性来说，暴露是中等级别，但是对于bug来说是低级别。

列表没有这个问题？
确实有。ArrayList只是一个带有额外抽象层的数组。