2.24 边界，边界，还是边界

最新推荐文章于 2024-06-02 19:31:19 发布

原创最新推荐文章于 2024-06-02 19:31:19 发布 · 1k 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#开发经验 #改善JAVA程序的151个建议 #改善代码 #编写高质量代码 #边界

JAVA开发专栏收录该内容

24 篇文章

订阅专栏

本文通过一个游戏充值漏洞实例说明了数字越界可能导致的问题，并强调了边界测试的重要性。介绍了如何在单元测试中进行边界测试，确保方法的安全可靠。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

以前玩一款新出的游戏，找到了一个充值漏洞，在充值会员的时候在充值数量输入框中先输入-999999，提交后再输入正数的充值数，就可以不用花钱而得到金币，那段时间在游戏里真是挥金如土，什么神兽神兵，武功秘籍，随便买，从而虐遍全服~~虽然很不幸，不到半个月就被封号……

来模拟下单业务逻辑：

<pre name="code" class="java">public class Client {
	public final static int LIMIT = 2000;// 可拥有产品的最大数量

	public static void main(String[] args) {
		int cur = 1000;// 目前拥有产品数量
		Scanner input = new Scanner(System.in);
		System.out.print("输入预订数量：");
		while (input.hasNextInt()) {
			int order = input.nextInt();
			if (order > 0 && order + cur <= LIMIT) {
				System.out.println("你已经成功预订" + (cur + order) + "个产品");
			} else {
				System.out.println("超过限额，预订失败！");
			}
		}
	}
}

这是一个很简单的订单处理程序，看似没有问题，但是请看输出结果：

输入预订数量：800
你已经成功预订1800个产品
2147483647
你已经成功预订-2147482649个产品

这个2147483647是不是很眼熟？没错，这是int类型的最大值，因为这个值再加上1000的时候超出了int类型的范围，所以结果反而变成了负的。一句话归结其原因：数字越界使校验条件失效。

所以在单元测试中，有一项测试叫做边界测试（也有叫做临界测试），如果一个方法接受的是int类型，那么以下三个值是必测的：0、正最大、负最小。如果这三个值都没问题，这个方法才是比较安全可靠的。

就算你再Web界面做出了严格严谨的校验，但其实也只能防普通用户（这里普通用户指不懂HTML、不懂HTTP、不懂Java的简单使用者），而对于高手，这些校验基本上就是摆设，通过对数据进行拦截分析，再写个模拟器进行发送，一切的前段校验就都变成了浮云！！

所以，必要的数据验证要放在服务端进行。

来源：《编写高质量代码：改善Java程序的151个建议》