程式碼安全測試第三十期：丟擲通用異常缺陷

一、什麼是丟擲通用異常缺陷?

丟擲過於寬泛的異常會導致複雜的錯誤處理程式碼，這些程式碼很可能包含安全漏洞。

宣告丟擲Exception或Throwable的方法會使呼叫方難以執行正確的錯誤處理和錯誤恢復。例如，Java的異常機制的設定使呼叫者能夠輕鬆地預測可能出現的錯誤，並編寫程式碼來處理每個特定的異常情況。

二、丟擲通用異常缺陷的構成條件有哪些?

丟擲過於寬泛的異常。

三、丟擲通用異常缺陷會造成哪些後果?

宣告一個方法丟擲泛型形式的異常會使系統失敗。

四、丟擲通用異常缺陷的防範和修補方法有哪些?

將方法丟擲異常的型別具體詳細化。

五、丟擲通用異常缺陷樣例：

用悟空 軟體靜態程式碼檢測工具 分析上述程式程式碼，則可以發現程式碼中存在著“丟擲通用異常”Secure屬性” 導致的 程式碼缺陷，如下圖：

丟擲通用異常缺陷在CWE中被編號為CWE-397:Declaration of Throws for Generic Exception