我在一个 java 项目上使用“HP Fortify v3.50”,我在“Null Dereference”上发现了很多误报,因为 Fortify 没有看到对 null 的控制是在另一种方法中。如何减少误报并保持规则?
这是一个 POC
public class MyClass {
public static void main(String[] args) {
String string01 = null;
String string02 = null;
int i;
if (args[0].equals("A")) {
string01 = "X";
string02 = "Y";
}
if (!isNull(string02)){
i = string02.length();} //False Positive
else {
i = string02.length();
} // Yes, it is an error!
}
public static boolean isNull(Object toBeTested){
return (null == toBeTested);
}
}
结果:
[E8837DB548E01DB5794FA71F3D5F51C8 : medium : Null Dereference : controlflow ]
MyClass.java(13) : Assigned null : string02
MyClass.java(16) : Branch not taken: (!args[0].equals("A"))
MyClass.java(20) : Branch taken: (!isNull(string02)) //False Positive
MyClass.java(21) : Dereferenced : string02
[E8837DB548E01DB5794FA71F3D5F51C9 : medium : Null Dereference : controlflow ]
MyClass.java(13) : Assigned null : string02
MyClass.java(16) : Branch not taken: (!args[0].equals("A"))
MyClass.java(20) : Branch not taken: isNull(string02)
MyClass.java(23) : Dereferenced : string02