Java安全与质量编码规范.pdfVIP

1.引言

为提高Java应用系统的整体质量与安全水平，特制定本编码规范，用于指

导本行发团队编写更优质的代码编码，在软件发生命周期的早期为Java应

用系统提供质量和安全保障。

2.参考文献

JAVA语言编码规范J《avaCodingStyleGuide》

放式Web应用程序安全项目标准十大安全问题《OWASPTop10-2017》

3.术语

・“正例”

指正确的代码编写示例，可作为对应漏洞的修复或规避的参考示例（不是唯

一的代码安全编写方式）。

・“反例”

指错误的代码编写方式，这些示例会产生对应的质量或安全问题，同时会被

代码扫描检测出来。

■“强制”

指必须按照对应规范条目要求编码，否则无法通过代码审计。

・“推荐”

指推荐按照对应的规范条目要求编码，对不同类型的系统或者不同的场景有

着不同的要求，详见具体规范条目内容加粗说明。

・“建议”

指建议规范的代码编写要求，按照对应要求编写代码可提高代码的性能、健

壮性或安全性等等，但不做强制要求。

4.适用范围

3.1适用代码

本规范适用于本行所有采用Java语言发的应用系统拥有源代码的部分。

本规范由发中心修订，依据应用系统质量与安全形势、管理要求的变化适

时修订和更新。

3.2系统分类及规范约束要求

序号系统分类特征规范约束

1外网系统用于外网用户使用的Browser/Server架构的系强制、推荐

统，如网银系统

2内网系统用于内网业务人员使用的系统，如客服系统强制、推荐

6（.3.1除外）

3后台系统没有用户界面，或者有用户界面但仅供发运维强制

人员作为数据维护的内网系统，如新核心系统

说明：“规范约束”是指对应分类的系统，强制要求遵守的规范类别

5.规范格式

5.1注释规范

1、类、类属性、类方法的注释使用Javadoc规范，使用/**内容*/格式，不

得使用〃XXX方式。

说明：在IDE编辑窗口中，Javadoc方式会提示相关注释，生成Javadoc

可以正确输出相应注释；在IDE中，工程调用方法时，不进入方法即可悬浮提

示方法、参数、返回值的意义，提高阅读效率。

2、抽象方法（包括接口中的方法）用Javadoc注释，除了返回值、参数、

异常说明外，还必须指出该方法做什么事情，实现什么功能。

说明：对子类的实现要求，或者调用注意事项，清一并说明。

3类应添加创建者和创建日期；

4方法内部单行注释在被注释语句上方另起一行，使用〃注释。方法内部

多行注释使用/**/注释，注意与代码对齐。

5枚举类型字段要有注释，并说明每个数据项的用途。

6注释要具有较好的可读性；

反例：“TCP连接超时〃解释成〃传输控制协议连接超时〃，理解反而费脑筋。

7代码修改的同时，注释也要进行相应的修改，尤其是参数返回值异

常核心逻辑等的修改。

8代码应当有20%以上的注释率，适当的注释率能够大大提高代码的