界: API Abuse

API 是调用方和被调用方之间的约定。最常见的 API 滥用是由于调用方未能遵守此约定的终止导致的。例如，如果某个程序在调用 chroot() 后未能调用 chdir()，则违反了用于指定如何安全地更改活动根目录的约定。库滥用的另一个典型示例是期望被调用方向调用方返回可信的 DNS 信息。在这种情况下，调用方通过对被调用方行为做出某种假设（返回值可用于身份验证目的）滥用其 API。另一方也可能违反调用方-被调用方约定。例如，如果编码器子类化 SecureRandom 并返回一个非随机值，则将违反此约定。

Often Misused: Boolean.getBoolean()

Java/JSP

Abstract

方法 Boolean.getBoolean() 常常与 Boolean.valueOf() 或 Boolean.parseBoolean() 方法调用混淆。

Explanation

在多数情况下，由于是用 Boolean.getBoolean() 来返回指定字符串变量表示的布尔值，因而导致此方法的调用使用不当。但是，正如 Javadoc Boolean.getBoolean(String) 方法所说，“当且仅当该参数表示的系统属性存在且等于字符串 'true' 时，才会返回 true。”

绝大多数情况下，开发人员真正希望使用的是调用 Boolean.valueOf(String) 或 Boolean.parseBoolean(String) 方法。
例 1：下列代码将不会按照期望的方式运行。它会输出“FALSE”，因为 Boolean.getBoolean(String) 不会对基元型字符串进行转换。它只能对系统属性进行转换。


 ...
 String isValid = "true";
 if ( Boolean.getBoolean(isValid) ) {
     System.out.println("TRUE");
 }
 else {
     System.out.println("FALSE");
 }
 ...

References

[1] Class Boolean Oracle

[2] Standards Mapping - CIS Azure Kubernetes Service Benchmark 3

[3] Standards Mapping - CIS Microsoft Azure Foundations Benchmark partial

[4] Standards Mapping - CIS Amazon Elastic Kubernetes Service Benchmark 5

[5] Standards Mapping - CIS Amazon Web Services Foundations Benchmark 1

[6] Standards Mapping - CIS Google Kubernetes Engine Benchmark confidentiality

[7] Standards Mapping - CIS Kubernetes Benchmark partial

[8] Standards Mapping - Payment Card Industry Data Security Standard Version 3.0 Requirement 6.5.6

[9] Standards Mapping - Payment Card Industry Data Security Standard Version 3.2 Requirement 6.5.6

[10] Standards Mapping - Payment Card Industry Data Security Standard Version 3.2.1 Requirement 6.5.6

[11] Standards Mapping - Payment Card Industry Data Security Standard Version 3.1 Requirement 6.5.6

[12] Standards Mapping - Payment Card Industry Data Security Standard Version 4.0 Requirement 6.2.4

[13] Standards Mapping - Payment Card Industry Software Security Framework 1.0 Control Objective 4.2 - Critical Asset Protection

[14] Standards Mapping - Payment Card Industry Software Security Framework 1.1 Control Objective 4.2 - Critical Asset Protection

[15] Standards Mapping - Payment Card Industry Software Security Framework 1.2 Control Objective 4.2 - Critical Asset Protection

desc.semantic.java.often_misused_boolean_getboolean