关于改安全问题导致严重问题的案例

背景

我们服务新引入了一个代码扫描工具，这个工具流程大概是定期扫描项目代码，匹配一些规则，如果存疑则留给开发确认，确认是问题则整改。

案例

开启的流必须关闭

这段代码是运行在远端服务的，哪个服务所使用的jar包和ide里面编译时使用的不完全一样，改这段代码的同事没有充分的验证，直接用ide提示的类做了处理。但事实上由于远端环境jar包版本和ide中jar包版本不一致。导致其他同事验证其他问题是发现包了方法找不到的问题（MethodNotFound）得亏是在开发环境中发现，否则就是个严重的现网问题。

不允许创建无限的线程池，要指定数量，给出了推荐用法

我们有一段代码是处理下发任务的，是多线程处理的。改这个问题的同事不了解这块背景想当然（或者是和其他同事沟通后）填了个xxx。由于开发环境，测试环境不会针对这块进行压力测试，导致版本发布后问题依然存在，还是偶现问题。只有部分生产环境数据量大时会触发这个问题。

根因分析&改进点：

1. 改任何代码都要在环境上进行验证，不要因为就改了几行，认为不会出问题，就不去验证了。
2. 改跟性能有关的问题时，如果没有性能极限，一定要想办法去重点生产环境上看看是怎么使用的，规模是什么样子。再来决定调整策略，验证策略。