資訊專欄INFORMATION COLUMN
摘要：典型的緩沖區(qū)越界注入等攻擊手段，或者網(wǎng)絡異常等。這假設實際上往往是錯誤的，絕大多數(shù)系統(tǒng)實際對用戶信息的要求不僅僅是滿足基本類型信息即可，而有顯式或隱式的其他條件。當然對于這種可能出現(xiàn)的異常應該在程序的其他地方捕獲并加以恰當?shù)恼故尽?/p>
不管你的水平多高，多么認真仔細，程序員總是會制造出 bug。bug 的根本來源是：
預期之外的用戶輸入或系統(tǒng)輸入。典型的緩沖區(qū)越界、SQL 注入等攻擊手段，或者網(wǎng)絡異常等。它的特點是在通常的用戶輸入時，程序表現(xiàn)得非常正常；但對于不普通、或者異常的用戶輸入沒有做任何防御。
程序員的疏忽或理解錯誤。例如不正確地調(diào)用了參數(shù)，按照不正確地次序調(diào)用函數(shù)，錯誤的線程數(shù)據(jù)共享。
開發(fā)組件之外的系統(tǒng)其他部分，如中間件、數(shù)據(jù)庫系統(tǒng)或其他組件本身的 bug，也會給我們本來完美的程序帶來 bug。但這種 bug 我們可以稱為是衍生錯誤，本質(zhì)是上述兩種 bug 之一。
所謂防御性編程(Defensive Programming) 一般針對第一類錯誤，它的原則是：只要有用戶或系統(tǒng)輸入，就應該對它的合規(guī)性進行嚴格的檢查。例如：
javapublic String findUserName(String userId) {
return db.userNameFrom(db, userId);
}
如果 nameInput 是直接來自于用戶輸入（不論是通過頁面，還是 URL，還是應用程序），上述簡單程序意味著：只要 userId 是一個字符串，它就是合法的！而我們就將它作為合法字符串在系統(tǒng)各處傳遞。這假設實際上往往是錯誤的，絕大多數(shù)系統(tǒng)實際對用戶信息的要求不僅僅是滿足基本類型信息即可，而有顯式或隱式的其他條件。例如，userId 很可能有長度限制，例如長于 6 個，短于20個字符；它很可能有取值限制，例如只能是字符和數(shù)字。而我們的編譯器，即使是 Java 的強類型編譯器，對這種要求一無所知。是程序員的責任來檢查這些額外要求：
java//一個特別的類 InputChecker 來檢查輸入
public void checkUserId(String userIdInput) {
if (userIdInput.length < 6 || userIdInput.length > 20)
throw new InvalidInputException("userId", userIdInput);
}
//需要和用戶輸入直接打交道的地方調(diào)用 inputChecker
public String findUserName(String userId) {
inputChecker.checkUserId(userId);
return db.userNameFrom(db, userId);
}
注意，由于異常輸入是一種異常，用運行時異常來表達它是合理的。當然對于這種可能出現(xiàn)的異常應該在程序的其他地方捕獲并加以恰當?shù)恼故尽?/p>
這樣的防御性編程代碼是可靠設計的一個良好習慣，實際上它也廣泛地被使用。但也有很多程序員將它錯誤地過多使用，或者錯誤地用它來覆蓋第二類 bug （程序員錯誤）。
