sonarqube代码规范整理_jchaoy

漏洞

1、 SHA-1 and Message-Digest hash algorithms should not be used

不应该使用 SHA-1 和消息摘要散列算法,已证实不再安全；不建议使用 MD5 哈希散列算

法，建议用更强壮的算法，比如非对称加密算法

解决方案：1、(建议标识为误判)理由：只是对后台数据加密，目前涉及范围广，无法修改，

替换影响较大。

2、简单粗暴，直接打成 jar 包

2、 Classes should not be loaded dynamically

解决方案：不建议使用 sql 拼接的方式。可以使用对象函数封装一下；针对特殊情况如表名

动态的，如果实在改不动，建议修改为误判，并给除理由：由于表名动态，需

使用拼接方式。

3、 Pseudorandom number generators (PRNGs) should not be used in secure

contexts

伪随机数生成器（PRNG）不应在安全上下文中使用

解决方案：

SecureRandom secureRandom= SecureRandom.getInstance("SHA1PRNG");

secureRandom.nextInt(10000);

4、 Credentials should not be hard-coded

凭证不应该硬编码

解决方法：

Sonary 会针对比较敏感的变量、参数进行强校验，类似 password 的均会建议进行加

如 ：

如下这种，可直接列入误判（我已申请，待审批）：