尽管 Java 语言规范中允许外部终结器调用对象的 finalize() 方法，但这其实并不是一个好办法。例如，直接调用 finalize() 意味着要不止一次地调用 finalize() 方法：第一次将会直接调用，而最后一次调用会在对象回收之后执行。

例 1：以下代码片段直接调用 finalize() 方法：

// time to clean up
widget.finalize();

虽然 React 中的 dangerouslySetInnerHTML 属性可以替代在浏览器 DOM 中使用 innerHTML，但 API 已重命名以传达使用 innerHTML 的潜在危险。通常情况下，设置 HTML from code 是有风险的，因为它很容易在无意中使您的用户遭受 Cross-Site Scripting (XSS) 攻击。
示例 1：以下代码将 HTML from code 设置为 dangerouslySetInnerHTML 属性：

      function MyComponent(data) {
        return (
          <div
            dangerouslySetInnerHTML={{__html: data.innerHTML}}
          />
        );
      }
    

Open SQL 直接写入操作（插入/更新/修改/删除）通常不可取，应尽量避免。它们会破坏系统的完整性和安全性，且不允许这样操作。



此外，Open SQL 直接写入操作很容易出错，并可能会导致意外的系统行为。在 SAP 中需要留意的一些问题包括：

- SAP 建议使用“更新绑定”技巧来保证 SAP LUW（逻辑工作单位）中的数据完整性，其中，数据完整性问题可能会涉及多个数据库 LUW。在不更新绑定的条件下直接修改表条目会导致 SAP 事务不一致。

- Open SQL 直接写入操作仅设置数据库级别锁定，避开 SAP 应用程序锁定。这可能会导致死锁和数据损坏。

- Open SQL 直接写入操作回避开应用程序中的 SAP 授权检查。

- 使用标准机制编写表条目、编辑检查、审计跟踪时，可正确执行相关更新（如更改文档）。使用 Open SQL 直接写入操作时并非如此。

在调用程序的权限或 AUTHID CURRENT_USER 程序包中，标识符是根据当前用户的架构首先解析的。如果该代码的定义程序未明确表明标识符所属的架构，这可能会导致意外的行为。

示例：下列代码通过在权限表中查找用户来检查该用户是否具有执行相应操作的权限。大多数用户仅具有 SYS.PERMISSIONS 的读取权限，且无法修改已定义的权限。

CREATE or REPLACE FUNCTION check_permissions(
  p_name IN VARCHAR2, p_action IN VARCHAR2)
  RETURN BOOLEAN
  AUTHID CURRENT_USER
IS
  r_count NUMBER;
  perm BOOLEAN := FALSE;
BEGIN
  SELECT count(*) INTO r_count FROM PERMISSIONS
    WHERE name = p_name AND action = p_action;
  IF r_count > 0 THEN
    perm := TRUE;
  END IF;
  RETURN perm;
END check_permissions

如果调用 check_permissions 函数的用户在其架构中定义了一个 PERMISSIONS 表，则该数据库会解析该标识符以引用本地表。该用户将具有对新表的写入权限，并可以对其进行修改以获得在其他情况下不可能拥有的权限。

Apache Struts 2.x 包含新的 Aware 接口，允许开发人员使用相关运行时信息，轻松将映射注入到其 Actions 代码中。这些接口包括：org.apache.struts2.interceptor.ApplicationtAware、org.apache.struts2.interceptor.SessionAware 和 org.apache.struts2.interceptor.RequestAware。为了将这些数据映射中的任意内容注入到其 Actions 代码中，开发人员需要实现接口中指定的 setter（例如：setSession，适用于 SessionAware 接口）：

public class VulnerableAction extends ActionSupport implements SessionAware {

  protected Map<String, Object> session;

  @Override
  public void setSession(Map<String, Object> session) {
    this.session = session;
  }

另一方面，Struts 2.x 会自动通过 Action 中定义的 public accessors 将来自用户的请求数据绑定到 Action 的属性。由于 Aware 接口要求实现 Aware 接口中定义的 public setter，因此这一 setter 也将自动绑定到与 Aware 接口 setter 名称相匹配的任意请求参数，这可允许远程攻击者通过伪造的参数修改应用程序的运行时数据值，使其实现的接口受到影响，如 SessionAware、RequestAware、ApplicationAware 接口所示。

下面的 URL 将允许攻击者重写会话映射中的“roles”属性。这可能会使攻击者成为管理员。

http://server/VulnerableAction?session.roles=admin


当这些接口仅要求实现 setter accessors 时，如果同时也实现相应的 getter，则对这些映射集合的更改将在会话范围内持续，而不是仅影响当前的请求范围。

Struts 2 引入了一种称为“动态方法调用”的功能，该功能允许 Action 暴露方法而非 execute()。!（感叹号）字符或 method: 前缀可用于 Action URL，在启用“动态方法调用”的情况下，可调用 Action 中的任何公共方法。没有意识到此功能的开发者可能会无意中将内部业务逻辑暴露给攻击者。

例如，如果 Action 包含一种称为 getUserPassword() 的公共方法，该方法没有采用参数且未禁用“动态方法调用”功能，则攻击者可以利用这点访问以下 URL： http://server/app/recoverpassword!getPassword.action

Apache Struts 2.x 包含新的 Aware 接口，允许开发人员使用相关运行时信息，轻松将映射注入到其 Actions 代码中。这些接口包括：org.apache.struts2.interceptor.ApplicationtAware、org.apache.struts2.interceptor.SessionAware 和 org.apache.struts2.interceptor.RequestAware。为了将这些数据映射中的任意内容注入到其 Actions 代码中，开发人员需要实现接口中指定的 setter（例如：setSession，适用于 SessionAware 接口）：

public class VulnerableAction extends ActionSupport implements SessionAware {

  protected Map<String, Object> session;

  @Override
  public void setSession(Map<String, Object> session) {
    this.session = session;
  }

另一方面，Struts 2.x 会自动通过 Action 中定义的 public accessors 将来自用户的请求数据绑定到 Action 的属性。由于 Aware 接口要求实现 Aware 接口中定义的 public setter，因此这一 setter 也将自动绑定到与 Aware 接口 setter 名称相匹配的任意请求参数，这可允许远程攻击者通过伪造的参数修改应用程序的运行时数据值，使其实现的接口受到影响，如 SessionAware、RequestAware、ApplicationAware 接口所示。

下面的 URL 将允许攻击者重写会话映射中的“roles”属性。这可能会使攻击者成为管理员。

http://server/VulnerableAction?session.roles=admin


当这些接口仅要求实现 setter accessors 时，如果同时也实现相应的 getter，则对这些映射集合的更改将在会话范围内持续，而不是仅影响当前的请求范围。