JDBC，强化并尝试使用资源

Question

我目前正在进行一个项目，该项目使用HP的Fortify SCA工具来捕捉代码库中的安全问题。我在确定正确处理JDBC资源的最佳方法时遇到了一些问题。

我现在拥有的代码如下所示；

    try (Connection conn = new DatabaseService().getConnection();
            PreparedStatement ps = conn.prepareStatement(query);) {

        ps.setString(1, mString);

        try (ResultSet rs = ps.executeQuery();) {

            while (rs.next()) {
             ...Do logic...
            }

        } catch (SQLException e) {
            e.printStackTrace();
        }

    } catch (SQLException e){
        e.printStackTrace();
    }
}

问题是Fortify会标记这段代码，说明如果嵌套的try语句中发生异常，那么对conn和ps的引用将丢失，它们将无法正确关闭。fortify标记这一点是正确的还是误报？据我所知，try with资源应该总是关闭它们的资源，但当它们像这样嵌套时，可能并不总是发生这种情况。

我在互联网上搜索了其他相关问题和博客，但我还没有得到任何明确的证据。

在这种情况下，最安全的解决方案是不使用try with resource，并在更广泛的try-catch语句的catch和finally块中用try-catch包装每个资源。然而，我宁愿避免这样做，因为它非常冗长。

提前感谢！

编辑：所以我意识到当我把代码重写成SO时，我在代码中遗漏了一些东西。原始的cat块中有一个System.exit（1）；语句（我知道不好的做法）。这意味着如果嵌套的try-with资源中抛出了一个异常，那么Fortify说conn和ps不会被正确关闭是正确的。

感谢您的回复，没有System.exit（1）；在这种情况下，所有资源都将被正确关闭，我选择了表明这一点的答案。

Answer 1

FortifyJava翻译器可能从未更新过Java7结构。您应该联系Fortify技术支持并提交测试用例。分析不正确。

此外，你应该把这个和其他相同的发现标记为“不是问题”，然后继续你的生活。

Answer 2

Java7及更高版本始终支持使用资源尝试，无论工具是否位于其之上。

因此，如果此代码编译（这意味着您使用的是Java7），您可以安全地忽略任何警告，因为它们确实是误报。JRE类保证自动关闭资源契约。

现在，如果您决定编写自己的资源来实现自动关闭，那么您需要确保关闭（）方法实际上关闭了资源=）