Code Correctness: Invalid Call to Object.equals()

Java/JSP

Abstract

程序会调用数组上的 Object.equals()，而非 java.util.Arrays.equals().

Explanation

由于调用数组上的 Object.equals() 会检查数组地址是否相同而非检查数组元素是否相同，因此在大多数情况下这是一个错误调用，通常应将该代码替换为 java.util.Arrays.equals()。

示例 1：以下示例尝试使用 Object.equals() 函数检查两个数组。


...
  int[] arr1 = new int[10];
  int[] arr2 = new int[10];
  ...
  if (arr1.equals(arr2)){
    //treat arrays as if identical elements
  }
...

除非在某个点将一个数组分配至另一个数组，否则可能会始终生成一个从未执行的代码。

References

[1] EXP02-J. Do not use the Object.equals() method to compare two arrays CERT

[2] Standards Mapping - Common Weakness Enumeration CWE ID 398, CWE ID 754

[3] Standards Mapping - OWASP Application Security Verification Standard 4.0 11.1.7 Business Logic Security Requirements (L2 L3)

[4] Standards Mapping - SANS Top 25 2010 Risky Resource Management - CWE ID 754

desc.structural.java.code_correctness_call_to_object_equals