Wie kann diese Verwendung des dynamischen Klassenladens entfernt oder das Laden dieser Klasse ersetzt werden?

Question

othersMap.put("maskedPan", Class.forName("Some Class")); 

Entfernen Sie diese Verwendung des dynamischen Klassenladens.

Regel

Changelog Klassen nicht geladen dynamisch durch eine statische Klasseninitialisierer ausgeführt dynamisch geladene Klassen bösartigen Code enthalten können werden sollen. I.E. Sie müssen Methoden für solche Klassen nicht einmal instanziieren oder explizit aufrufen, um für einen Angriff anfällig zu sein. Diese Regel wirft ein Problem für jede Verwendung des dynamischen Klassenladens auf. Nicht kompatibel Codebeispiel

String className = System.getProperty("messageClassName"); 
Class clazz = Class.forName(className); // Noncompliant 

Siehe

Answer 1

Eine Möglichkeit etwas wie das sein würde:

Class<?> cls; 

switch (System.getProperty("messageClassName")){ 
    case "com.example.Message1": 
    cls = com.example.Message1.class; 
    break; 
... 
} 

Answer 2

Nun, Sie könnten versuchen, die Sonar Regel auszutricksen, z.B. durch Reflexion mit der Class.forName() Methode aufrufen, aber ich fühle mich Ihnen würde das falsche Problem dort zu lösen:

Class.class.getDeclaredMethod("forName", String.class).invoke(null, className); 

Der richtige Weg, es zu tun ist, um die Menschen zu überzeugen, entweder die Sonar laufen in Ihrem org dass das, was Sie tun, ist notwendig und sie müssen für Sie eine Ausnahme von der Regel machen. Oder wenn du sie nicht überzeugen kannst, hör auf damit.