開発者がオブジェクトを比較する場合、通常はオブジェクトのプロパティを比較します。しかし、明示的に equals() を実装していないクラス (あるいは任意のスーパークラス/インターフェイス) で equals() をコールすると、java.lang.Object から継承した equals() メソッドがコールされる結果となります。Object.equals() はオブジェクトのメンバーフィールドやその他のプロパティを比較する代わりに、2 つのオブジェクトインスタンスを比較してその 2 つが同一のものであるかを確認します。Object.equals() の正規の利用法も存在しますが、通常はコードにバグがあることを示しています。

例 1:

public class AccountGroup
{
	private int gid;

	public int getGid()
	{
		return gid;
	}

	public void setGid(int newGid)
	{
		gid = newGid;
	}
}
...
public class CompareGroup
{
	public boolean compareGroups(AccountGroup group1, AccountGroup group2)
	{
		return group1.equals(group2);   //equals() is not implemented in AccountGroup
	}
}

Java 言語仕様は、finalize() メソッドで super.finalize() のコールを行うことは適切な方法であるとしています [1]。

例 1: 次のメソッドは、super.finalize() のコールを省略しています。

protected void finalize() {
  discardNative();
}

シリアライズ可能なメソッドの署名が誤っているというコードの正確性に関する問題は、シリアライズ可能なクラスがシリアライズ関数またはデシリアライズ関数を作成するものの、正しい署名に従っていない場合に発生します。

  private void writeObject(java.io.ObjectOutputStream out) throws IOException;
  private void readObject(java.io.ObjectInputStream in) throws IOException, ClassNotFoundException;
  private void readObjectNoData() throws ObjectStreamException;

シリアライゼーションが必要とするメソッドの署名からの逸脱は、メソッドがシリアライゼーション/デシリアライゼーションの間コールされることがなくなり、不完全なシリアライゼーション/デシリアライゼーションや、信頼できないコードがオブジェクトにアクセスすることになりかねません。
スローされない例外がある場合は、シリアライゼーション/デシリアライゼーションが失敗してアプリケーションがクラッシュするか、目に見えるエラーなく失敗してオブジェクトが部分的にだけ正しく構成され、デバッグがきわめて困難な欠陥につながる可能性があります。コール元は、クラッシュや部分的なオブジェクト構成などを発生させずに、これらの例外をキャッチしてシリアライゼーション/デシリアライゼーションの誤りを適切に処理する必要があります。

HttpServletRequest の転送、HttpServletResponse のリダイレクト、またはサーブレットの出力ストリームバッファーのフラッシュによって、関連ストリームがコミットされます。後続のバッファーがストリームをリセットまたはコミットすると (追加のフラッシュまたはリダイレクトなど)、IllegalStateException となります。

さらに、Java サーブレットによって、ServletOutputStream または PrintWriter のいずれか (両方ではありません) を使用して、レスポンスストリームへのデータの書き込みが許可されます。getOutputStream() をコールした後に、getWriter() をコールする、また逆の処理を行った場合、IllegalStateException となります。



実行時には、IllegalStateException によって、レスポンスハンドラの実行が防止され、レスポンスがドロップすることになります。これによりサーバーの動作が不安定になります。また、サーブレットが適切に実装されていないことを示します。

例 1: 次のコードは、出力ストリームバッファーがフラッシュされた後に、サーブレットのレスポンスをリダイレクトしています。

public class RedirectServlet extends HttpServlet {
    public void doGet(HttpServletRequest req, HttpServletResponse res) throws ServletException, IOException {
        ...
        OutputStream out = res.getOutputStream();
        ...
        // flushes, and thereby commits, the output stream
        out.flush();
        out.close();        // redirecting the response causes an IllegalStateException
        res.sendRedirect("http://www.acme.com");
    }
}

例 2: 逆に、次のコードは、リクエストが転送された後に、書き込みを行い、PrintWriter のバッファーをフラッシュしようとしています。

public class FlushServlet extends HttpServlet {
    public void doGet(HttpServletRequest req, HttpServletResponse res) throws ServletException, IOException {
        ...
        // forwards the request, implicitly committing the stream
        getServletConfig().getServletContext().getRequestDispatcher("/jsp/boom.jsp").forward(req, res);
        ...

        // IllegalStateException; cannot redirect after forwarding
        res.sendRedirect("http://www.acme.com/jsp/boomboom.jsp");

        PrintWriter out = res.getWriter();

        // writing to an already-committed stream will not cause an exception,
        // but will not apply these changes to the final output, either
        out.print("Writing here does nothing");

        // IllegalStateException; cannot flush a response's buffer after forwarding the request
        out.flush();
        out.close();
    }
}

ほとんどの場合、リクエストの Content-Length ヘッダーを設定した開発者は、
サーバーに送信されたPOSTデータの長さのやり取りに興味を持っています。ただし、このヘッダーには 0 または正の数を
設定する必要があります。

例 1: 次のコードでは、不正な Content-Length を設定することになります。

  URL url = new URL("http://www.example.com");
  HttpURLConnection huc = (HttpURLConnection)url.openConnection();
  huc.setRequestProperty("Content-Length", "-1000");

ほとんどの場合、配列で toString() がコールされているということは、開発者が配列の内容を文字列として返そうとしていることを意味します。しかし、配列で toString() を直接コールすると、その配列のタイプおよびメモリのハッシュコードを含んだ文字列値が返されます。
例 1: 次のコードは、[Ljava.lang.String;@1232121 を出力します。

String[] strList = new String[5];
...
System.out.println(strList);

このフィールドには FortifyDangerous というアノテーションが付けられています。このアノテーションは、危険であること、および安全を確保するにはすべての使用をチェックすべきであることを示すために使用されます。