SV.STRUTS.PRIVATE
如果一个类扩展了 org.apache.struts.action.ActionForm 并且具有一个非私有的类字段。
漏洞与风险
ActionForm 类应仅包含可由 setter 和 getter 访问的私有字段。创建非私有字段违反了本合同，并且引入了避免验证和为 Form 对象创建无效状态的可能性。
Klocwork 安全漏洞 (SV) 检查器可识别可能创建危险数据的调用；这些调用被视为不安全的来源。用户所提供的任何数据都可能是不安全的来源，因为用户可能是攻击者，或者可能引入人为错误。
缓解与预防
使所有字段成为专用。使用 getter 获取字段值。setter 应仅供框架使用；从其他操作中设置操作表单字段是不好的做法，应加以避免。
示例 1
复制
public class SV_STRUTS_PRIVATE_Sample_1 extends ActionForm {
private String name;
protected String birthdayString;
public String getName() {
return name;
}
public void setName(String name) {
this.name = name;
}
public String getBirthday() {
return birthdayString;
}
public void setBirthday(String birthday) {
this.birthdayString = birthday;
}
}针对第 12 行的字段声明报告 SV.STRUTS.PRIVATE：Struts：表单字段“birthdayString”应为私有