腾讯云开发者社区-腾讯云

开发者社区

文档建议反馈控制台

最新优惠活动

文章/答案/技术大牛

发布

安全乐观主义

专栏作者

48

文章

74618

阅读量

26

订阅数

使用方舟编译器检查Fastjson OOM问题

ide 打包 json 编程算法 java

通过介入编译期间进行安全检查是类似于Facebook infer类的产品，为什么要这么做呢？源代码安全检查工具粗略分为两个大的流派，一个是类似于coverity，需要编译，厂家集成实现了cov-build这样的编译工具；另一个是checkmarx直接分析语法树进行检查，再上层的例如p3c、pmd、sonarcube都是基于字节码、数据流的规范检查，执行编译有助于将代码规范起来，缓解路径不可达问题降低误报，SAST不能避免软件工程的莱斯定理(Rice’s Theorem)在图灵机的应用：我们可以把任意程序看成一个从输入到输出上的部分函数（Partial Function），该函数描述了程序的行为，关于程序行为的任何非平凡属性，都不存在可以检查该属性的通用算法，误报是允许在得不到精确值的时候，给出近似答案，这个答案就是一定比例的误报或者漏报。本文即尝试类似RoboVM、SVF使用LLVM的思路进行数据流和控制流的软件错误检测。扩展知识可以看下北大熊英飞教授的软件分析技术（Software Analysis）公开课件https://xiongyingfei.github.io/SA/2018/main.htm。

安全乐观主义

2019-11-20

7730

没有更多了

社区活动

RAG七天入门训练营

鹅厂大牛手把手带你上手实战，赢鹅厂证书、公仔好礼！

Python精品学习库

代码在线跑，知识轻松学

博客搬家 | 分享价值百万资源包

自行/邀约他人一键搬运博客，速成社区影响力并领取好礼

技术创作特训营·精选知识专栏

往期视频·千货材料·成员作品最新动态