Unterschied zwischen nicht endgültigen öffentlichen statischen und nicht finalen öffentlichen Instanzfeldern in Bezug auf Sicherheit?

Question

ich über diesen Link werde, OBJ10-J. Do not use public static nonfinal fields und es sagt, dass

Client-Code triviale öffentliche statische Felder zugreifen kann, weil der Zugang auf solche Felder nicht von einem Sicherheitsmanager überprüft.

was bedeuten sie eigentlich damit? Was bedeuten sie, wenn sie dem Sicherheitsmanager entkommen?

Wenn sie bedeutet es einfach, weil Feld nicht endgültigen und public zu sein, dann, wie nicht endgültige kommen, public Instanz als ihre Pendants static verschiedene Bereiche? (Soweit Code Sicherheit betroffen ist)

Ich habe durch diese Frage und haben keine Erwähnung in Bezug auf die Sicherheit gesehen, Why are static variables considered evil

public Klasse public static Felder würden zugänglich sein von überall und so public Instanzfelder zu Wo ist der Unterschied? Warum nicht-finalpublic Instanzfelder kein Sicherheitsproblem, sondern static ist?

Answer 1

Das ist, weil der Fall von nicht-statischen Feldern bereits durch OBJ01-J. Limit accessibility of fields

public Instanzfeld abgedeckt werden leicht unterschiedliche Gründe von OBJ01-J bedeckt. Zum einen müssen Sie einen Verweis auf eine Instanz haben, bevor Sie öffentliche Instanzfelder ändern können, während auf öffentliche statische Felder direkt auf Klassenebene zugegriffen werden kann. Aber beide sind gegen die CERT-Regeln.

Answer 2

Warum nicht finale öffentliche Instanzfelder kein Sicherheitsproblem darstellen, sondern statisch sein müssen?

Wenn Sie auf ein Instanzfeld zugreifen möchten, benötigen Sie den Verweis auf diese Objektinstanz. Wenn Sie keine Referenz haben, können Sie nicht darauf zugreifen.

So kann Ihr Code steuern, an welche Objekte eine Referenz übergeben wird. Wenn bösartiger Code versucht, eines Ihrer Objekte zu übernehmen, um eine Referenz zu erhalten, können Sie einen Sicherheitsmanager installieren, um dies zu verhindern.

Auf der anderen Seite kann ein public static Feld von jedem zugegriffen werden, der Zugriff auf die Klasse hat, weil das Objekt Class zugänglich ist. So könnte bösartiger Code verwendet nur

YourClass.PUBLIC_INSTANCE_FIELD = someValue; 

oder die Reflexion Weg

Class clazz = Class.forName("YourClass"); 
Field publicStaticField = clazz.getDeclaredField("PUBLIC_INSTANCE_FIELD"); 
publicStaticField.set(null, someValue);