9、Java 与 PHP：编程语言选择的安全影响

Java 与 PHP：编程语言选择的安全影响

1. 引言

在开源 Web 应用开发领域，Java 和 PHP 是两种广泛使用的编程语言。尽管它们的安全声誉有所不同，但开源 Web 应用中使用 PHP 编写的数量是 Java 的两倍多。早期 PHP 因语言默认特性存在安全问题，但随着版本更新，这些问题已逐渐改善。本文将通过静态分析工具，对 25 个开源 Web 应用（11 个 Java 应用和 14 个 PHP 应用）进行研究，比较两种语言在安全方面的差异。

2. 相关工作

• 静态分析工具应用 ：Coverity 使用 Prevent 静态分析工具分析大量 C 和 C++ 开源项目；Fortify 用其静态分析工具分析少量 Java 项目；Nagappan 用静态分析工具测量缺陷密度以预测发布后缺陷。
• 安全问题随时间变化研究 ：Ozment 发现 OpenBSD 安全问题减少，Li 发现 Mozilla 和 Apache 安全问题增加。
• 复杂度与漏洞相关性分析 ：Shin 和 Nagappan 分析了圈复杂度与漏洞的相关性，结果不一；Shin 还分析了嵌套复杂度与漏洞的关系。
• 依赖对漏洞影响研究 ：Neuhaus 和 Zimmerman 研究了 Red Hat Linux 包中依赖对漏洞的影响；Zimmerman 等人分析了基于其他项目信息预测缺陷的问题。

3. 研究设计