veracode - 如何修复 Veracode 缺陷：CWE-489：剩余的调试代码？

Question

在我的应用程序中，我有类 testapp，因为我有一些方法和主要方法。当我使用 veracode 工具时，它在 main 方法中显示出缺陷，即 Veracode CWE-489:Leftover Debug Code。在我的 psvm 主要方法中，我只有一些 Syso 行。

public class testapp {

    public static void main(String[] args) {
        System.out.println("Test_One");
        System.out.println("Test_Two");
        System.out.println("Test_Three");
        System.out.println("Test_Four");
        System.out.println("Test_Five");
    }

    void dotest() {

    }

    void runtest() {

    }

}

任何人都可以指导我如何解决这个问题。

Answer 1

Veracode 引擎正在检查 Java 代码中是否存在针对此漏洞的 main() 函数。本质上，您所能做的就是将其删除。

Veracode SAST 中针对此问题的检查受以下事实控制：对于 Java Enterprise Web 应用程序，您不应该根据 J2EE 应用程序的规范拥有 main 函数。

只要您在应用程序中没有任何可从外部利用的 CWE-470 不安全反射问题或应用程序服务器配置不安全，那么您不必担心这一点。