Code Correctness: Invalid Call to Object.equals()

Java/JSP

Abstract

程式會在陣列上呼叫 Object.equals()，而不是呼叫 java.util.Arrays.equals().

Explanation

在大多數情況下，針對陣列呼叫 Object.equals() 是錯誤的，因為這將會檢查陣列的位址是否相等，而不是陣列的元素是否相等，所以通常應該由 java.util.Arrays.equals() 取而代之。

範例 1：以下使用 Object.equals() 函數嘗試檢查兩個陣列。


...
  int[] arr1 = new int[10];
  int[] arr2 = new int[10];
  ...
  if (arr1.equals(arr2)){
    //treat arrays as if identical elements
  }
...

這幾乎一定會導致程式碼永遠不會執行，除非在某個時間點，將一個陣列指派給另一個陣列。

References

[1] EXP02-J. Do not use the Object.equals() method to compare two arrays CERT

[2] Standards Mapping - Common Weakness Enumeration CWE ID 398, CWE ID 754

[3] Standards Mapping - OWASP Application Security Verification Standard 4.0 11.1.7 Business Logic Security Requirements (L2 L3)

[4] Standards Mapping - SANS Top 25 2010 Risky Resource Management - CWE ID 754

desc.structural.java.code_correctness_call_to_object_equals