下表包含 <INSTALL_DIR>\configs\builtin 目录中提供的测试配置。

静态分析

该分组包含通用的静态分析测试配置。有关执行安全编码标准的测试配置，请参阅 Security Compliance Pack。

内建测试配置说明
Android Guidelines包括为 Android 开发人员推荐的规则，基于 Google Java Style Guide（https://google.github.io/styleguide/javaguide.html）。
Code Smells基于 Kent Beck 和 Martin Fowler 编写的 Code Smells 文档（http://xp.c2.com/CodeSmell.html）的规则。
Critical Rules

包括大多数严重度为 1 的规则，以及 Flow Analysis Fast 配置中的规则。

Demo Configuration包括用于演示各种代码分析技术的规则。可能不适合大型代码库。
Find Duplicated Code应用报告重复代码的静态代码分析规则。重复代码可能表明应用程序设计不佳，并导致可维护性问题。
Find Memory Problems包括用于在代码中查找内存管理问题的规则。
Find Unused Code包含识别未使用代码/死代码的规则。
Flow Analysis Standard无需测试用例或应用程序执行即可检测复杂的运行时错误。检测到的缺陷包括使用未初始化或无效的内存、空指针解引用、数组和缓冲区溢出、除零、内存和资源泄漏以及死代码。此测试配置需要一个特殊的流分析许可证选项。
Flow Analysis Aggressive包括对代码进行深度流分析的规则。运行此配置可能需要花费较长时间。
Flow Analysis Fast包括用于浅层流分析的规则，会限制报告的潜在可接受缺陷的数量。
Internationalize Code应用静态代码分析来发现可能阻碍国际化工作的代码。
Metrics计算多种代码指标的值。 
Recommended Rules

推荐规则的默认配置。涵盖大多数严重度 1 和严重度 2 的规则。包含 Flow Analysis Fast 配置中的规则。

Thread Safe Programming包含的规则能够发现在多线程环境中运行存在危险的代码，并有助于避免常见的线程问题，如死锁、竞争条件、错过通知、无限循环和数据损坏。
TDD Best PracticesTDD（测试驱动开发）Best Practices 配置包括基于 Code Smells 文档（http://xp.c2.com/CodeSmell.html）的规则、检查 JUnit 测试类对于被测试类是否全面的规则，以及 Critical Rules 测试配置中的规则。
JUnit 4 Best Practices包括帮助您提高 JUnit 4 单元测试质量的规则。
JUnit 5 Best Practices包括帮助您提高 JUnit 5 单元测试质量的规则。

Security Compliance Pack

此合规性包提供有助于实施安全编码标准和实践的测试配置。有关各项标准如何映射到 Jtest 规则的信息，请参阅 Compliance Pack 规则映射。

(info) Security Compliance Pack 需要激活专用的许可证功能。有关许可的更多详细信息，请联系 Parasoft 支持。

在 DTP 上显示合规性结果

此分类中的一些测试配置在 DTP 上有相应的“合规性”扩展，您可以查看安全合规性状态，生成合规性报告，并监控实现安全合规性目标的进度。有关可用扩展列表、具体要求和使用方法，请参阅 DTP 文档中的“DTP 扩展”部分。

内建测试配置说明
CWE 4.15

包含的规则可检测 4.15 版 CWE 标准中定义的问题。

(info) 此测试配置是 Parasoft Compliance Pack 解决方案的一部分，您可以使用 DTP 上的“合规性”扩展来监控是否符合行业标准的要求。

CWE Top 25 2023

包含的规则可检测 2023 版 CWE 标准 Top 25 Most Dangerous Programming Errors 分类中的问题。

(info) 此测试配置是 Parasoft Compliance Pack 解决方案的一部分，您可以使用 DTP 上的“合规性”扩展来监控是否符合行业标准的要求。

CWE Top 25 2022

包含的规则可检测 2022 版 CWE 标准 Top 25 Most Dangerous Programming Errors 分类中的问题。

(info) 此测试配置是 Parasoft Compliance Pack 解决方案的一部分，您可以使用 DTP 上的“合规性”扩展来监控是否符合行业标准的要求。

CWE Top 25 + On the Cusp 2023

包含的规则可检测 2023 版 CWE 标准 Top 25 Most Dangerous Programming Errors 分类或 CWE Weaknesses On the Cusp 列表中的问题。

(info) 此测试配置是 Parasoft Compliance Pack 解决方案的一部分，您可以使用 DTP 上的“合规性”扩展来监控是否符合行业标准的要求。

CWE Top 25 + On the Cusp 2022

包含的规则可检测 2022 版 CWE 标准 Top 25 Most Dangerous Programming Errors 分类或 CWE Weaknesses On the Cusp 列表中的问题。

(info) 此测试配置是 Parasoft Compliance Pack 解决方案的一部分，您可以使用 DTP 上的“合规性”扩展来监控是否符合行业标准的要求。

DISA-ASD-STIG

包含的规则可检测国防信息系统局提供的 Application Security and Development STIG（Security Technical Implementation Guides）中定义的问题。另请参阅 DISA-ASD-STIG 已知局限性。

HIPAA包含的规则可检测 HIPAA（健康保险可携性和责任法案）法规中定义的问题。

OWASP API Security Top 10-2023

包含的规则可检测 2023 版 OWASP API Security Top 10 标准中定义的问题。

(info) 此测试配置是 Parasoft Compliance Pack 解决方案的一部分，您可以使用 DTP 上的“合规性”扩展来监控是否符合行业标准的要求。

OWASP API Security Top 10-2019

包含的规则可检测 2019 版 OWASP API Security Top 10 标准中定义的问题。

(info) 此测试配置是 Parasoft Compliance Pack 解决方案的一部分，您可以使用 DTP 上的“合规性”扩展来监控是否符合行业标准的要求。

OWASP ASVS 4.0.3

包含用于实施 ASVS（应用程序安全性验证标准）中定义的要求的规则。

OWASP Top 10-2021

包含用于检测 OWASP Top 10 - 2021 中列出的 Web 应用程序安全风险的规则。

(info) 此测试配置是 Parasoft Compliance Pack 解决方案的一部分，您可以使用 DTP 上的“合规性”扩展来监控是否符合行业标准的要求。

OWASP Top 10-2017

包含用于检测 OWASP Top 10 - 2017 中列出的 Web 应用程序安全风险的规则。

(info) 此测试配置是 Parasoft Compliance Pack 解决方案的一部分，您可以使用 DTP 上的“合规性”扩展来监控是否符合行业标准的要求。

PCI DSS 4.0包含的规则可检测 4.0 版 PCI Data Security Standard 中的问题。
PCI DSS 3.2包含的规则可检测 3.2 版 PCI Data Security Standard 中的问题。
CERT for Java检查 CERT 标准中的规则。该标准提供了安全编码指南。
CERT for Java Guidelines检查 CERT 标准的规则和建议。该标准提供了安全编码指南。
UL 2900 包含的规则可检测 UL-2900 标准中明确的问题。
VVSG 2.0包括实施 Voluntary Voting System Guidelines 2.0 所定义规范和要求的规则。

单元测试和覆盖率收集

这一组测试配置可运行单元测试和收集覆盖率数据。

内建测试配置说明
Calculate Application Coverage处理应用程序覆盖率数据以生成 coverage.xml 文件。请参阅应用程序覆盖率。
Unit Tests在生成的报告文件中包括单元测试执行数据

Compliance Pack 规则映射

该部分包含 CWE 标准的规则映射。其他标准的映射信息可在 Compliance Pack 随附的 PDF 规则映射文件中查看。

CWE Top 25 2023 映射

ID

名称/说明

Parasoft 规则 ID

CWE-787

越界写

  • CWE.787.ARRAY
  • CWE.787.ARRAYSEC

CWE-79

网页生成时对输入的转义处理不当（'跨站脚本'）

  • CWE.79.EACM
  • CWE.79.TDDIG
  • CWE.79.TDRESP
  • CWE.79.TDXML
  • CWE.79.TDXSS
  • CWE.79.VPPD
  • CWE.79.ARXML

CWE-89

对 SQL 命令中使用的特殊元素转义处理不当（'SQL 注入'）

  • CWE.89.TDSQL
  • CWE.89.UPS

CWE-416

释放后使用

  • CWE.416.FREE

CWE-78

对 OS 命令中使用的特殊元素转义处理不当（'OS 命令注入'）

  • CWE.78.TDCMD

CWE-20

输入验证不当

  • CWE.20.ARRAY
  • CWE.20.INTOVERF
  • CWE.20.FREE
  • CWE.20.ARRAYSEC
  • CWE.20.TDINPUT
  • CWE.20.TDLIB
  • CWE.20.TDLOG
  • CWE.20.TDRESP
  • CWE.20.TDRFL
  • CWE.20.BSA
  • CWE.20.CACO
  • CWE.20.CLP
  • CWE.20.ICO
  • CWE.20.IOF
  • CWE.20.CAI
  • CWE.20.NATV
  • CWE.20.SYSP
  • CWE.20.AEAF
  • CWE.20.CSVFV
  • CWE.20.NATIW
  • CWE.20.APIBS
  • CWE.20.BUSSB
  • CWE.20.UCO
  • CWE.20.DFV
  • CWE.20.EV
  • CWE.20.PLUGIN

CWE-125

越界读

  • CWE.125.ARRAY
  • CWE.125.ARRAYSEC

CWE-22

对受限目录路径名的限制处理不当（'路径遍历'）

  • CWE.22.TDFNAMES

CWE-352

跨站请求伪造（CSRF）

  • CWE.352.EACM
  • CWE.352.TDRESP
  • CWE.352.TDXSS
  • CWE.352.VPPD
  • CWE.352.UOSC
  • CWE.352.DCSRFJAVA
  • CWE.352.DCSRFXML
  • CWE.352.REQMAP

CWE-434

无限制的危险类型文件上传

  • CWE.434.TDFNAMES

CWE-862

授权缺失

  • CWE.862.PERMIT
  • CWE.862.LCA

CWE-476

空指针解引用

  • CWE.476.NP
  • CWE.476.DEREF

CWE-287

身份验证不当

  • CWE.287.TDPASSWD
  • CWE.287.UPWD
  • CWE.287.PLAIN
  • CWE.287.PCCF
  • CWE.287.PTPT
  • CWE.287.PWDPROP
  • CWE.287.PWDXML
  • CWE.287.UTAX
  • CWE.287.WCPWD
  • CWE.287.WPWD
  • CWE.287.CKTS
  • CWE.287.DNSL
  • CWE.287.HCCK
  • CWE.287.HCCS
  • CWE.287.HTTPRHA
  • CWE.287.HV
  • CWE.287.PBFA
  • CWE.287.SSM
  • CWE.287.USC
  • CWE.287.VSI
  • CWE.287.MLVP

CWE-190

整数溢出或回绕

  • CWE.190.INTOVERF
  • CWE.190.BSA
  • CWE.190.CACO
  • CWE.190.CLP
  • CWE.190.ICO
  • CWE.190.IOF

CWE-502

不可信数据的反序列化

  • CWE.502.SSSD
  • CWE.502.MASP
  • CWE.502.AUXD
  • CWE.502.SC
  • CWE.502.RWAF
  • CWE.502.VOBD

CWE-77

对命令中使用的特殊元素转移处理不当（'命令注入'）

  • CWE.77.TDCMD

CWE-119

对内存缓冲区边界内的操作限制处理不当

  • CWE.119.ARRAY
  • CWE.119.FREE
  • CWE.119.ARRAYSEC
  • CWE.119.BUSSB

CWE-798

使用硬编码凭据

  • CWE.798.HCCK
  • CWE.798.HCCS

CWE-918

服务器端请求伪造（SSRF）

  • CWE.918.TDNET

CWE-306

关键功能的身份验证缺失

  • CWE.306.SSM

CWE-362

使用共享资源的并发执行未正确同步（'竞态条件'）

  • CWE.362.TOCTOU
  • CWE.362.DCL

CWE-269

权限管理不当

  • CWE.269.DPANY
  • CWE.269.LDP
  • CWE.269.PCL

CWE-94

代码生成控制不当（'代码注入'）

  • CWE.94.TDCODE
  • CWE.94.DCEMSL
  • CWE.94.ASAPI

CWE-863

授权不正确

  • CWE.863.DSR
  • CWE.863.SRCD

CWE-276

默认权限不正确

  • CWE.276.ASNF
  • CWE.276.CFAP

CWE Top 25 2022 映射

CWE ID

CWE 名称/说明

Parasoft 规则 ID

CWE-787

越界写

  • CWE.787.ARRAY
  • CWE.787.ARRAYSEC

CWE-79

网页生成时对输入的转义处理不当（'跨站脚本'）

  • CWE.79.EACM
  • CWE.79.TDDIG
  • CWE.79.TDRESP
  • CWE.79.TDXML
  • CWE.79.TDXSS
  • CWE.79.VPPD
  • CWE.79.ARXML

CWE-89

对 SQL 命令中使用的特殊元素转义处理不当（'SQL 注入'）

  • CWE.89.TDSQL
  • CWE.89.UPS

CWE-20

输入验证不当

  • CWE.20.ARRAY
  • CWE.20.INTOVERF
  • CWE.20.FREE
  • CWE.20.ARRAYSEC
  • CWE.20.TDALLOC
  • CWE.20.TDINPUT
  • CWE.20.TDLIB
  • CWE.20.TDLOG
  • CWE.20.TDRESP
  • CWE.20.TDRFL
  • CWE.20.BSA
  • CWE.20.CACO
  • CWE.20.CLP
  • CWE.20.ICO
  • CWE.20.IOF
  • CWE.20.CAI
  • CWE.20.NATV
  • CWE.20.SYSP
  • CWE.20.AEAF
  • CWE.20.CSVFV
  • CWE.20.NATIW
  • CWE.20.APIBS
  • CWE.20.BUSSB
  • CWE.20.UCO
  • CWE.20.DFV
  • CWE.20.EV
  • CWE.20.PLUGIN

CWE-125

越界读

  • CWE.125.ARRAY
  • CWE.125.ARRAYSEC

CWE-78

对 OS 命令中使用的特殊元素转义处理不当（'OS 命令注入'）

  • CWE.78.TDCMD

CWE-416

释放后使用

  • CWE.416.FREE

CWE-22

对受限目录路径名的限制处理不当（'路径遍历'）

  • CWE.22.TDFNAMES

CWE-352

跨站请求伪造（CSRF）

  • CWE.352.EACM
  • CWE.352.TDRESP
  • CWE.352.TDXSS
  • CWE.352.VPPD
  • CWE.352.UOSC
  • CWE.352.DCSRFJAVA
  • CWE.352.DCSRFXML
  • CWE.352.REQMAP

CWE-434

无限制的危险类型文件上传

  • CWE.434.TDFNAMES

CWE-476

空指针解引用

  • CWE.476.NP
  • CWE.476.DEREF

CWE-502

不可信数据的反序列化

  • CWE.502.SSSD
  • CWE.502.MASP
  • CWE.502.AUXD
  • CWE.502.SC
  • CWE.502.RWAF
  • CWE.502.VOBD

CWE-190

整数溢出或回绕

  • CWE.190.INTOVERF
  • CWE.190.BSA
  • CWE.190.CACO
  • CWE.190.CLP
  • CWE.190.ICO
  • CWE.190.IOF

CWE-287

身份验证不当

  • CWE.287.TDPASSWD
  • CWE.287.UPWD
  • CWE.287.PLAIN
  • CWE.287.PCCF
  • CWE.287.PTPT
  • CWE.287.PWDPROP
  • CWE.287.PWDXML
  • CWE.287.UTAX
  • CWE.287.WCPWD
  • CWE.287.WPWD
  • CWE.287.CKTS
  • CWE.287.DNSL
  • CWE.287.HCCK
  • CWE.287.HCCS
  • CWE.287.HTTPRHA
  • CWE.287.HV
  • CWE.287.PBFA
  • CWE.287.SSM
  • CWE.287.USC
  • CWE.287.VSI
  • CWE.287.MLVP

CWE-798

使用硬编码凭据

  • CWE.798.HCCK
  • CWE.798.HCCS

CWE-862

授权缺失

  • CWE.862.PERMIT
  • CWE.862.LCA

CWE-77

对命令中使用的特殊元素转移处理不当（'命令注入'）

  • CWE.77.TDCMD

CWE-306

关键功能的身份验证缺失

  • CWE.306.SSM

CWE-119

对内存缓冲区边界内的操作限制处理不当

  • CWE.119.ARRAY
  • CWE.119.FREE
  • CWE.119.ARRAYSEC
  • CWE.119.BSA
  • CWE.119.BUSSB

CWE-276

默认权限不正确

  • N/A

CWE-918

服务器端请求伪造（SSRF）

  • CWE.918.TDNET

CWE-362

使用共享资源的并发执行未正确同步（'竞态条件'）

  • CWE.362.TOCTOU
  • CWE.362.DCL

CWE-400

不受控制的资源消耗

  • CWE.400.LEAKS
  • CWE.400.TDALLOC
  • CWE.400.DMDS
  • CWE.400.ISTART

CWE-611

XML 外部实体引用限制处理不当

  • CWE.611.XMLVAL
  • CWE.611.DXXE

CWE-94

代码生成控制不当（'代码注入'）

  • CWE.94.TDCODE
  • CWE.94.DCEMSL
  • CWE.94.ASAPI

CWE Weaknesses On the Cusp 2023 映射

ID

名称/说明

Parasoft 规则 ID

CWE-617

可达的断言

  • CWE.617.ASSERT

CWE-427

对搜索路径元素未加控制

  • CWE.427.PBRTE

CWE-611

XML 外部实体引用限制处理不当

  • CWE.611.XMLVAL
  • CWE.611.DXXE

CWE-770

资源分配没有限制或调节机制

  • CWE.770.TDALLOC
  • CWE.770.ISTART

CWE-200

向未经授权的参与者披露敏感信息

  • CWE.200.SENS
  • CWE.200.SENSLOG
  • CWE.200.CONSEN
  • CWE.200.PEO
  • CWE.200.SIO
  • CWE.200.ACPST
  • CWE.200.EWSSEC

CWE-732

关键资源的权限分配不正确

  • CWE.732.ASNF
  • CWE.732.CFAP
  • CWE.732.IDP
  • CWE.732.SCHTTP

CWE-601

URL 重定向至不可信站点（'开放式重定向'）

  • CWE.601.TDNET
  • CWE.601.TDRESP
  • CWE.601.VRD
  • CWE.601.UCO

CWE-1321

未正确控制的对象原型属性修改（'原型污染'）

  • N/A

CWE-295

证书验证不当

  • CWE.295.HV
  • CWE.295.VSI

CWE-522

凭据保护不足

  • CWE.522.TDPASSWD
  • CWE.522.UPWD
  • CWE.522.PLAIN
  • CWE.522.PCCF
  • CWE.522.PTPT
  • CWE.522.PWDPROP
  • CWE.522.PWDXML
  • CWE.522.UTAX
  • CWE.522.WCPWD
  • CWE.522.WPWD
  • CWE.522.CKTS
  • CWE.522.USC

CWE-401

有效生命周期结束后缺少内存释放

  • N/A

CWE-400

不受控制的资源消耗

  • CWE.400.LEAKS
  • CWE.400.TDALLOC
  • CWE.400.USB
  • CWE.400.DMDS
  • CWE.400.ISTART

CWE-639

通过用户控制密钥绕过授权

  • N/A

CWE-59

文件访问前的链接解析不当（'链接跟随'）

  • CWE.59.FOLLOW
  • CWE.59.LNK

CWE-668

将资源暴露到错误范围

  • CWE.668.ASNF
  • CWE.668.CFAP
  • CWE.668.SENS
  • CWE.668.SENSLOG
  • CWE.668.TDFNAMES
  • CWE.668.TDINPUT
  • CWE.668.TDLIB
  • CWE.668.TDPASSWD
  • CWE.668.RR
  • CWE.668.UPWD
  • CWE.668.MFP
  • CWE.668.IMM
  • CWE.668.PSFA
  • CWE.668.PLAIN
  • CWE.668.SYSP
  • CWE.668.SPFF
  • CWE.668.CONSEN
  • CWE.668.PEO
  • CWE.668.RA
  • CWE.668.SIF
  • CWE.668.SIO
  • CWE.668.ATF
  • CWE.668.PCCF
  • CWE.668.PTPT
  • CWE.668.PWDPROP
  • CWE.668.PWDXML
  • CWE.668.UTAX
  • CWE.668.WCPWD
  • CWE.668.WPWD
  • CWE.668.ACPST
  • CWE.668.APIBS
  • CWE.668.CKTS
  • CWE.668.CLONE
  • CWE.668.EWSSEC
  • CWE.668.IDP
  • CWE.668.INNER
  • CWE.668.PBRTE
  • CWE.668.SCHTTP
  • CWE.668.SER
  • CWE.668.USC
  • CWE.668.UCO

CWE Weaknesses On the Cusp 2022 映射

CWE ID

CWE 名称/说明

Parasoft 规则 ID

CWE-295

证书验证不当

  • CWE.295.HV
  • CWE.295.VSI

CWE-427

对搜索路径元素未加控制

  • CWE.427.PBRTE

CWE-863

授权不正确

  • CWE.863.DSR
  • CWE.863.SRCD

CWE-269

权限管理不当

  • CWE.269.DPANY
  • CWE.269.LDP
  • CWE.269.PCL

CWE-732

关键资源的权限分配不正确

  • CWE.732.IDP
  • CWE.732.SCHTTP

CWE-843

使用不兼容类型访问资源（'类型混淆'）

  • CWE.843.EQUS

CWE-668

将资源暴露到错误范围

  • CWE.668.SENS
  • CWE.668.SENSLOG
  • CWE.668.TDFNAMES
  • CWE.668.TDINPUT
  • CWE.668.TDLIB
  • CWE.668.TDPASSWD
  • CWE.668.RR
  • CWE.668.UPWD
  • CWE.668.MFP
  • CWE.668.IMM
  • CWE.668.PSFA
  • CWE.668.PLAIN
  • CWE.668.SYSP
  • CWE.668.SPFF
  • CWE.668.CONSEN
  • CWE.668.PEO
  • CWE.668.RA
  • CWE.668.SIF
  • CWE.668.SIO
  • CWE.668.ATF
  • CWE.668.PCCF
  • CWE.668.PTPT
  • CWE.668.PWDPROP
  • CWE.668.PWDXML
  • CWE.668.UTAX
  • CWE.668.WCPWD
  • CWE.668.WPWD
  • CWE.668.ACPST
  • CWE.668.APIBS
  • CWE.668.CLONE
  • CWE.668.EWSSEC
  • CWE.668.IDP
  • CWE.668.INNER
  • CWE.668.PBRTE
  • CWE.668.SCHTTP
  • CWE.668.SER
  • CWE.668.USC
  • CWE.668.UCO

CWE-200

向未经授权的参与者披露敏感信息

  • CWE.200.SENS
  • CWE.200.SENSLOG
  • CWE.200.CONSEN
  • CWE.200.PEO
  • CWE.200.SIO
  • CWE.200.ACPST
  • CWE.200.EWSSEC

CWE-1321

未正确控制的对象原型属性修改（'原型污染'）

  • N/A

CWE-601

URL 重定向至不可信站点（'开放式重定向'）

  • CWE.601.TDNET
  • CWE.601.TDRESP
  • CWE.601.VRD
  • CWE.601.UCO

CWE-401

有效生命周期结束后缺少内存释放

  • N/A

CWE-59

文件访问前的链接解析不当（'链接跟随'）

  • CWE.59.FOLLOW
  • CWE.59.LNK

CWE-522

凭据保护不足

  • CWE.522.TDPASSWD
  • CWE.522.UPWD
  • CWE.522.PLAIN
  • CWE.522.PCCF
  • CWE.522.PTPT
  • CWE.522.PWDPROP
  • CWE.522.PWDXML
  • CWE.522.UTAX
  • CWE.522.WCPWD
  • CWE.522.WPWD
  • CWE.522.USC

CWE-319

敏感信息明文传输

  • CWE.319.HTTPS
  • CWE.319.UOSC
  • CWE.319.USC

CWE-312

敏感信息明文存储

  • CWE.312.PLAIN
  • CWE.312.PLC
  • CWE.312.PWDPROP

CWE 4.15 映射

ID

名称/说明

Parasoft 规则 ID

CWE-6

J2EE 配置错误：会话 ID 长度不足

  • CWE.6.SLID

CWE-7

J2EE 配置错误：缺少自定义错误页面

  • CWE.7.SEP

CWE-8

J2EE 配置错误：Entity Bean 被声明为 Remote

  • CWE.8.RR

CWE-9

J2EE 配置错误：EJB 方法的弱访问权限

  • CWE.9.DPANY

CWE-15

系统或配置设置的外部控制

  • CWE.15.SYSP
  • CWE.15.UCO

CWE-22

对受限目录路径名的限制处理不当（'路径遍历'）

  • CWE.22.TDFNAMES

CWE-61

UNIX 符号链接跟踪 (Symlink)

  • CWE.61.FOLLOW

CWE-64

Windows 快捷方式跟随 (.LNK)

  • CWE.64.LNK

CWE-78

对 OS 命令中使用的特殊元素转义处理不当（'OS 命令注入'）

  • CWE.78.TDCMD

CWE-79

网页生成时对输入的转义处理不当（'跨站脚本'）

  • CWE.79.EACM
  • CWE.79.TDRESP
  • CWE.79.TDXSS
  • CWE.79.VPPD

CWE-80

网页中与脚本相关的 HTML 标签的转义处理不当 (基本 XSS)

  • CWE.80.TDDIG
  • CWE.80.TDXML
  • CWE.80.ARXML

CWE-81

错误消息网页中脚本的中和不当

  • CWE.81.ARXML

CWE-83

在网页属性中对脚本的不恰当中和

  • CWE.83.ARXML

CWE-89

对 SQL 命令中使用的特殊元素转义处理不当（'SQL 注入'）

  • CWE.89.TDSQL
  • CWE.89.UPS

CWE-90

LDAP 查询中使用的特殊元素转义处理不当 ('LDAP 注入')

  • CWE.90.TDLDAP

CWE-91

XML 注入 (又称盲注 XPath 注入)

  • CWE.91.TDXML

CWE-94

代码生成控制不当（'代码注入'）

  • CWE.94.DCEMSL
  • CWE.94.ASAPI

CWE-95

动态评估代码中指令转义处理不当 ('Eval 注入')

  • CWE.95.TDCODE

CWE-99

资源标识符控制不当 ('资源注入')

  • CWE.99.TDNET

CWE-102

Struts: 重复验证表单

  • CWE.102.DFV

CWE-103

Struts: 不完整的 validate() 方法定义

  • CWE.103.CSVFV

CWE-104

Struts: 表单 Bean 不继承验证类

  • CWE.104.AEAF

CWE-106

Struts: 未使用的插件框架

  • CWE.106.PLUGIN

CWE-109

Struts: 验证器关闭

  • CWE.109.EV

CWE-111

直接使用不安全的 JNI

  • CWE.111.NATV
  • CWE.111.NATIW

CWE-113

HTTP 标头中 CRLF 序列的不正确中和 ('HTTP 请求/响应拆分')

  • CWE.113.TDRESP

CWE-114

过程控制

  • CWE.114.TDLIB
  • CWE.114.APIBS

CWE-117

不恰当的日志输出中和

  • CWE.117.TDLOG

CWE-125

越界读

  • CWE.125.ARRAY
  • CWE.125.ARRAYSEC

CWE-128

回绕错误

  • CWE.128.CACO

CWE-129

对数组索引的验证不恰当

  • CWE.129.ARRAY
  • CWE.129.ARRAYSEC
  • CWE.129.CAI

CWE-131

缓冲区大小计算错误

  • CWE.131.ARRAY

CWE-134

使用外部控制的格式字符串

  • CWE.134.TDINPUT

CWE-173

候选编码方案处理不当

  • CWE.173.SEO

CWE-176

Unicode 编码处理不当

  • CWE.176.NCUCP

CWE-185

不正确的正则表达式

  • CWE.185.REP

CWE-190

整数溢出或回绕

  • CWE.190.INTOVERF
  • CWE.190.BSA
  • CWE.190.CACO
  • CWE.190.CLP
  • CWE.190.ICO
  • CWE.190.IOF

CWE-191

整数下溢 (隐藏或环绕)

  • CWE.191.INTOVERF
  • CWE.191.BSA

CWE-193

大小差一错误

  • CWE.193.AOBO

CWE-198

使用不正确的字节顺序

  • CWE.198.PMRWLED

CWE-209

包含敏感信息的错误消息的生成

  • CWE.209.SENS
  • CWE.209.PEO
  • CWE.209.SIO
  • CWE.209.ACPST

CWE-212

在存储或传输之前不正确地删除敏感信息

  • CWE.212.FT

CWE-213

因政策不兼容而暴露敏感信息

  • CWE.213.CONSEN

CWE-215

将敏感信息注入调试代码

  • CWE.215.EWSSEC

CWE-245

J2EE 不良实践: 直接管理连接

  • CWE.245.JDBCTEMPLATE

CWE-246

J2EE 不良实践: 直接使用套接字

  • CWE.246.AUS
  • CWE.246.NSF
  • CWE.246.SS

CWE-250

以不必要的特权执行

  • CWE.250.LDP
  • CWE.250.PCL

CWE-252

未检查的返回值

  • CWE.252.CHECKRET
  • CWE.252.CRRV

CWE-256

明文存储密码

  • CWE.256.TDPASSWD
  • CWE.256.UPWD
  • CWE.256.PLAIN
  • CWE.256.PCCF
  • CWE.256.PTPT
  • CWE.256.PWDPROP
  • CWE.256.PWDXML
  • CWE.256.UTAX
  • CWE.256.WCPWD
  • CWE.256.WPWD

CWE-258

配置文件中的空密码

  • CWE.258.PWDPROP

CWE-260

配置文件中的密码

  • CWE.260.UTAX

CWE-261

密码的弱编码

  • CWE.261.CKTS

CWE-276

默认权限不正确

  • CWE.276.CFAP
  • CWE.276.ASNF

CWE-279

执行分配权限不当

  • CWE.279.IDP

CWE-290

通过欺骗绕过身份验证

  • CWE.290.HTTPRHA

CWE-295

证书验证不当

  • CWE.295.HV

CWE-297

不正确的证书验证与主机不匹配

  • CWE.297.VSI

CWE-306

关键功能的身份验证缺失

  • CWE.306.SSM

CWE-307

对过多的身份验证尝试的限制不当

  • CWE.307.PBFA

CWE-311

敏感数据缺少加密

  • CWE.311.SENS
  • CWE.311.PWDXML

CWE-312

敏感信息明文存储

  • CWE.312.PWDPROP

CWE-313

文件或磁盘上的明文存储

  • CWE.313.PLAIN

CWE-315

敏感信息的明文传输

  • CWE.315.PLC

CWE-319

敏感信息明文传输

  • CWE.319.HTTPS
  • CWE.319.USC

CWE-321

使用硬编码加密密钥

  • CWE.321.HCCK

CWE-325

缺少加密步骤

  • CWE.325.MCMDU
  • CWE.325.SIKG

CWE-327

使用破碎或危险的加密算法

  • CWE.327.ACMD

CWE-328

弱哈希的使用

  • CWE.328.AISSAJAVA
  • CWE.328.AISSAXML
  • CWE.328.AUNC
  • CWE.328.ICA
  • CWE.328.MDSALT
  • CWE.328.SRD

CWE-329

在 CBC 加密模式中使用可预测的 IV 向量

  • CWE.329.ENPP
  • CWE.329.IVR

CWE-336

伪随机数生成器 (PRNG) 中的相同种子

  • CWE.336.ENPP

CWE-337

伪随机数生成器 (PRNG) 中的可预测种子

  • CWE.337.ENPP

CWE-338

使用密码弱伪随机数生成器 (PRNG)

  • CWE.338.SRD

CWE-346

来源验证错误

  • CWE.346.JXCORS

CWE-347

密码签名的不正确验证

  • CWE.347.VJFS

CWE-350

依靠反向 DNS 解析来执行安全关键操作

  • CWE.350.DNSL

CWE-352

跨站请求伪造（CSRF）

  • CWE.352.EACM
  • CWE.352.TDRESP
  • CWE.352.TDXSS
  • CWE.352.VPPD
  • CWE.352.UOSC
  • CWE.352.DCSRFJAVA
  • CWE.352.DCSRFXML
  • CWE.352.REQMAP

CWE-359

向未授权的参与者泄露个人隐私信息

  • CWE.359.CONSEN

CWE-362

使用共享资源的并发执行未正确同步（'竞态条件'）

  • CWE.362.DCL

CWE-367

检查时间与使用时间 (TOCTOU) 竞争条件

  • CWE.367.TOCTOU

CWE-369

除以零

  • CWE.369.ZERO

CWE-375

将可变对象返回给不受信任的调用者

  • CWE.375.RA

CWE-377

不安全的临时文件

  • CWE.377.ATF

CWE-382

J2EE 不良实践: 使用 System.exit()

  • CWE.382.EXIT
  • CWE.382.JVM

CWE-383

J2EE 不良实践: 直接使用线程

  • CWE.383.THR

CWE-384

会话固定

  • CWE.384.ISL

CWE-390

无动作检测错误条件

  • CWE.390.LGE

CWE-391

未检查的错误情况

  • CWE.391.AECB

CWE-395

使用 NullPointerException 异常捕获检测空指针解引用

  • CWE.395.NCNPE

CWE-396

通用异常捕获声明

  • CWE.396.NCE

CWE-397

通用异常抛出声明

  • CWE.397.NTX
  • CWE.397.NTERR

CWE-400

不受控制的资源消耗

  • CWE.400.DMDS

CWE-404

不正确的资源关闭或释放

  • CWE.404.COCO
  • CWE.404.ODBIL
  • CWE.404.CRWD

CWE-413

锁定资源不当

  • CWE.413.LORD

CWE-416

释放后使用

  • CWE.416.FREE

CWE-426

不可信的搜索路径

  • CWE.426.PBRTE

CWE-427

对搜索路径元素未加控制

  • CWE.427.PBRTE

CWE-434

无限制的危险类型文件上传

  • CWE.434.TDFNAMES

CWE-456

变量未经初始化

  • CWE.456.LV

CWE-457

使用未初始化的变量

  • CWE.457.NP
  • CWE.457.NOTEXPLINIT
  • CWE.457.NOTINITCTOR
  • CWE.457.UIRC

CWE-459

不完全清理

  • CWE.459.LEAKS

CWE-470

使用外部控制输入来选择类或代码 ('不安全反射')

  • CWE.470.TDRFL
  • CWE.470.APIBS

CWE-476

空指针解引用

  • CWE.476.NP
  • CWE.476.DEREF

CWE-477

使用过时的功能

  • CWE.477.DPRAPI

CWE-478

多重条件表达式缺少 default 分支

  • CWE.478.PDS

CWE-481

赋值而不是比较

  • CWE.481.ASI

CWE-483

不正确的代码块分界

  • CWE.483.BLK
  • CWE.483.EBI
  • CWE.483.EB

CWE-484

在 switch 中省略了 break 语句

  • CWE.484.SBC
  • CWE.484.DAV

CWE-486

按名称比较类

  • CWE.486.AUG
  • CWE.486.CMP

CWE-487

依赖于包的级别范围

  • CWE.487.AF

CWE-491

没有 Final ('Object Hijack') 的公共 cloneable() 方法

  • CWE.491.CLONE

CWE-492

内部类包含敏感数据的使用

  • CWE.492.INNER

CWE-495

从 public 修饰的方法返回的私有数组类型字段

  • CWE.495.RA

CWE-496

public 修饰的数据赋值给了 private 修饰的数组类型字段

  • CWE.496.CAP

CWE-497

将敏感系统信息暴露给未经授权的控制域

  • CWE.497.SENS
  • CWE.497.PEO

CWE-499

包含敏感数据的可序列化类

  • CWE.499.SIF
  • CWE.499.SER

CWE-500

public static 修饰的字段未标记为 final 类型

  • CWE.500.SPFF

CWE-501

信任边界违规

  • CWE.501.TDSESSION

CWE-502

不可信数据的反序列化

  • CWE.502.SSSD
  • CWE.502.MASP
  • CWE.502.AUXD
  • CWE.502.SC
  • CWE.502.RWAF
  • CWE.502.VOBD

CWE-506

嵌入式恶意代码

  • CWE.506.HCCK

CWE-511

逻辑/潜在破坏因素

  • CWE.511.RDM

CWE-521

弱密码需求

  • CWE.521.MLVP

CWE-523

不受保护的凭证传输

  • CWE.523.USC

CWE-532

在日志文件中包含敏感信息

  • CWE.532.SENSLOG
  • CWE.532.CONSEN

CWE-543

在多线程上下文中使用不带同步的单例模式

  • CWE.543.IASF
  • CWE.543.ILI

CWE-546

可疑注释

  • CWE.546.TODOJAVA
  • CWE.546.TODOPROP
  • CWE.546.TODOXML

CWE-555

J2EE 配置错误：配置文件中的纯文本密码

  • CWE.555.PWDXML

CWE-561

无用代码

  • CWE.561.CC
  • CWE.561.DEREF
  • CWE.561.SWITCH
  • CWE.561.PM

CWE-563

无需使用即可给变量赋值

  • CWE.563.POVR
  • CWE.563.VOVR
  • CWE.563.UPPF
  • CWE.563.AURV
  • CWE.563.PF
  • CWE.563.UP

CWE-568

finalize()方法没有 super.finalize()

  • CWE.568.FCF

CWE-570

表达式始终为 False

  • CWE.570.CC
  • CWE.570.UCIF

CWE-571

表达式始终为 True

  • CWE.571.CC
  • CWE.571.UCIF

CWE-572

调用线程 run() 而不是 start()

  • CWE.572.IRUN

CWE-576

EJB 不良实践: Java I/O 的使用

  • CWE.576.JIO

CWE-577

EJB 不良实践: 套接字的使用

  • CWE.577.AUS

CWE-578

EJB 不良实践: 类加载器的使用

  • CWE.578.ACL

CWE-579

J2EE 不良实践: 非序列化对象被存储在 session 中

  • CWE.579.ONS
  • CWE.579.SNSO

CWE-580

clone() 方法没有 super.clone()

  • CWE.580.SCLONE

CWE-581

对象模型违规: 只定义了 Equals 和 Hashcode 中的一个

  • CWE.581.OVERRIDE

CWE-582

数组被声明为 public、final 和 static

  • CWE.582.IMM
  • CWE.582.PSFA

CWE-583

finalize() 方法被声明为 public

  • CWE.583.MFP

CWE-584

finally 块中的 return

  • CWE.584.ARCF

CWE-585

空的同步块

  • CWE.585.SNE

CWE-586

显式调用 finalize() 方法

  • CWE.586.NCF

CWE-594

J2EE 框架: 将不可序列化的对象保存到磁盘

  • CWE.594.SIVS

CWE-595

对象引用的比较而不是对象内容

  • CWE.595.UEIC

CWE-600

Servlet 中未捕获异常

  • CWE.600.CETS

CWE-601

URL 重定向至不可信站点（'开放式重定向'）

  • CWE.601.TDNET
  • CWE.601.TDRESP
  • CWE.601.VRD
  • CWE.601.UCO

CWE-605

同一端口的多个绑定

  • CWE.605.HCNA

CWE-607

public static final 修饰的字段引用可变对象

  • CWE.607.IMM
  • CWE.607.RMO

CWE-609

双重检查锁定

  • CWE.609.DCL

CWE-611

XML 外部实体引用限制处理不当

  • CWE.611.XMLVAL
  • CWE.611.DXXE

CWE-613

会话有效期不足

  • CWE.613.RUIM
  • CWE.613.STTL

CWE-614

HTTPS 会话中的 cookie 敏感数据没有 'Secure' 属性

  • CWE.614.UOSC

CWE-617

可达的断言

  • CWE.617.ASSERT

CWE-643

XPath 表达式中数据的不正确中和 ('XPath Injection')

  • CWE.643.TDJXPATH
  • CWE.643.TDXPATH

CWE-644

脚本语法的 HTTP 响应头不正确中和

  • CWE.644.TDRESP

CWE-652

XQuery 表达式中不正确的数据中和 ('XQuery Injection')

  • CWE.652.TDXPATH
  • CWE.652.XPIJ

CWE-662

不正确的同步

  • CWE.662.DIFCS

CWE-667

加锁不当

  • CWE.667.LOCK
  • CWE.667.CLOSE

CWE-674

不受控制的递归

  • CWE.674.FLRC

CWE-676

潜在危险方法的使用

  • CWE.676.SRD

CWE-680

整数溢出到缓冲区溢出

  • CWE.680.BSA

CWE-681

数字类型之间的不正确转换

  • CWE.681.CLP
  • CWE.681.IDCD

CWE-691

控制流管理不足

  • CWE.691.ANL

CWE-704

类型转换或强制转换不正确

  • CWE.704.AGBPT
  • CWE.704.CPTS

CWE-749

暴露的危险方法或功能

  • CWE.749.DPAM
  • CWE.749.DPPM
  • CWE.749.SPAM

CWE-755

对特殊情况的不当处理

  • CWE.755.CIET

CWE-759

使用不加 salt 的单向哈希

  • CWE.759.MDSALT

CWE-764

关键资源的多重锁定

  • CWE.764.DLOCK

CWE-770

资源分配没有限制或调节机制

  • CWE.770.ISTART

CWE-771

缺少对活动分配资源的引用

  • CWE.771.LEAKS

CWE-772

有效生命周期后缺少资源释放

  • CWE.772.LEAKS
  • CWE.772.CLOSE

CWE-778

不足的记录

  • CWE.778.ENFL

CWE-787

越界写

  • CWE.787.ARRAY
  • CWE.787.ARRAYSEC

CWE-789

内存分配使用过大的值

  • CWE.789.TDALLOC

CWE-798

使用硬编码凭据

  • CWE.798.HCCS

CWE-806

使用源缓冲区的大小进行缓冲区访问

  • CWE.806.BUSSB

CWE-807

依赖安全决策中不受信任的输入

  • CWE.807.PLC
  • CWE.807.HGRSI
  • CWE.807.UOSC

CWE-829

包含来自不受信任控制范围的功能

  • CWE.829.TDFILES
  • CWE.829.TDFNAMES
  • CWE.829.TDLIB
  • CWE.829.TDXPATH

CWE-832

解锁未锁定的资源

  • CWE.832.LORD

CWE-833

死锁

  • CWE.833.ORDER
  • CWE.833.TSHL
  • CWE.833.CSFS
  • CWE.833.RLF
  • CWE.833.STR
  • CWE.833.UWNA

CWE-835

具有无法到达的退出条件的循环（“无限循环”）

  • CWE.835.PCIF
  • CWE.835.AIL

CWE-836

使用密码哈希而不是密码进行身份验证

  • CWE.836.PLAIN

CWE-838

对输出上下文进行不适当的编码

  • CWE.838.SEO

CWE-841

行为工作流的不恰当执行

  • CWE.841.PERMIT

CWE-843

使用不兼容类型访问资源（'类型混淆'）

  • CWE.843.EQUS

CWE-862

授权缺失

  • CWE.862.PERMIT
  • CWE.862.LCA

CWE-863

授权不正确

  • CWE.863.DSR
  • CWE.863.SRCD

CWE-918

服务器端请求伪造（SSRF）

  • CWE.918.TDNET

CWE-1004

没有 'HttpOnly' 标记的敏感 cookie

  • CWE.1004.SCHTTP

CWE-1046

使用字符串连接创建不可变文本

  • CWE.1046.USB

CWE-1051

使用硬编码的网络资源配置数据进行初始化

  • CWE.1051.HCNA

CWE-1066

缺少序列化控件元素

  • CWE.1066.OROM

CWE-1069

空异常块

  • CWE.1069.AECB

CWE-1075

开关块外部无条件控制流转移

  • CWE.1075.ABCL

CWE-1077

使用不正确的比较运算符比较浮点值

  • CWE.1077.DCF

CWE-1102

依赖于机器相关的数据表示

  • CWE.1102.DNHCP
  • CWE.1102.LNSP
  • CWE.1102.PEER

CWE-1106

符号常量使用不足

  • CWE.1106.USN

CWE-1115

源代码元素没有标准序言

  • CWE.1115.MCH

CWE-1126

使用不必要的大范围声明变量

  • CWE.1126.DVCU

CWE-1385

WebSockets 中缺少来源验证

  • CWE.1385.WS

  • No labels

Need assistance? Visit our support page