Java代码审查的常见策略与技巧

简介：
本书深入探讨了在Java项目开发中进行有效代码审查的方法和最佳实践，涵盖了一系列实用策略和技术。 本段落介绍了《代码审计》一书第三章中的四种代码审计思路之一——逆向追踪，即回溯变量。该方法主要是通过检查敏感函数的参数，然后跟踪这些参数的来源，判断它们是否可控且未经过严格的过滤。此外，非函数使用不当导致的安全漏洞如SQL注入问题可以通过分析SQL语句来识别是否存在风险。例如，在某些情况下，获取IP地址的HTTP_CLIENT_IP和HTTP_X_FORWARDED_FOR等变量没有被适当过滤就直接拼接到SQL查询中，并且这些变量通常存在于$_SERVER数组内并且不受GPC（Get Post Cookie）规则的影响。这种方法的优点在于它适用于Java代码审计中的常规思路和方法。