以下のルールは CQA モードで有効にできます。
BD.API.ARGWRITE - write() メソッドが 0 から 255 の範囲外の整数を出力すると信頼してはならない
BD.API.EQNULL - Object.equals(Object) の実装が null 値を適切に処理していることを確認する
BD.API.EQREFL - Object.equals(Object) の実装が再帰的であることを確認する
BD.CO.ITMOD - コレクションを反復処理中に変更しない
BD.EXCEPT.NP - NullPointerException を避ける
BD.OPT.INEFCOL - Collection 要素の非効率な削除を防止する
BD.OPT.INEFMAP - Map エントリの非効率な反復を防止する
BD.OPT.INEFMAPRM - Map エントリの非効率な削除を防止する
BD.PB.ARRAY - 配列の境界を超えてアクセスしてはならない
BD.PB.ARRAYINP - 未検証の入力を配列インデックスとして使用しない
BD.PB.BADSHIFT - 誤ったシフト演算を避ける
BD.PB.CC - 常に同じ値に評価される条件式を避ける
BD.PB.CHECKRET - 非 void メソッドの戻り値を必ずチェックする
BD.PB.DEREF - null チェックの前に間接参照しない
BD.PB.EXCEPT - 例外を常にキャッチする
BD.PB.GETPERM - ユーザー定義のクラス ローダーが適用される場合、getPermission() メソッドの呼び出しが想定される
BD.PB.INFREC - 無限の再帰を避ける
BD.PB.INTOVERF - 整数のオーバーフローを避ける
BD.PB.MULBUF - 単一のバイト ストリームまたは文字ストリームに複数のバッファー付きラッパーを作成してはならない
BD.PB.NOTEXPLINIT - 明示的に初期化する前の使用を避ける
BD.PB.NOTINITCTOR - コンストラクターおよび静的イニシャライザーで初期化する前にフィールドを使用しない
BD.PB.PBIOS - 外部プロセスが入力および出力ストリームをブロックするのを防ぐ
BD.PB.POVR - 使用前にメソッド パラメーターを上書きすることを避ける
BD.PB.RECFUN - メソッドは直接的にも間接的にも自分自身を呼び出してはならない
BD.PB.REVOBJ - メソッドが失敗したときに元のオブジェクトの状態を復元する
BD.PB.SBONE - StringBuilder/StringBuffer オブジェクトを適切に使用する
BD.PB.STRNULL - 文字列に null を付加しない
BD.PB.SWITCH - switch 文には到達できないブランチがあってはならない
BD.PB.VOVR - 未使用の値を避ける
BD.PB.VREADOBJ - readObject() メソッドからオーバーライド可能なメソッドを呼び出さない
BD.PB.ZERO - ゼロによる除算を避ける
BD.RES.FREE - 解放されたリソースを使用してはならない
BD.RES.LEAKS - リソースが割り当て解除されていることを確認する
BD.SECURITY.BUFEXP - バッファーによってラップされたデータを信頼されていないコードに公開しない
BD.SECURITY.CANPATH - パスを標準化してから検証するべきである
BD.SECURITY.CUSTOM - セキュリティ脆弱性を防ぐ (カスタム ルール)
BD.SECURITY.EACM - 危険なメソッドの引数を検証メソッドでカプセル化する
BD.SECURITY.FPEXC - 例外値がないか浮動小数点値の入力をチェックする
BD.SECURITY.LOG - 未検証のバイナリ データをログ記録メソッドに渡さない
BD.SECURITY.PRIVIL - 特権付きのブロックで汚染されたデータを処理するのを避ける
BD.SECURITY.REMTMP - 終了の前に一時ファイルを削除する
BD.SECURITY.SENS - 機密データの公開を防止する
BD.SECURITY.SIGCLASS - URLClassLoader および java.util.jar が提供するデフォルトの自動シグニチャ検証に依存しない
BD.SECURITY.SSSD - 機密データを安全にシリアライズする
BD.SECURITY.TDALLOC - メモリ割り当サイズの決定に使用する前に、汚染されている可能性があるデータを検証する
BD.SECURITY.TDCMD - コマンド インジェクションから防御する
BD.SECURITY.TDCODE - コードを生成するメソッドで使用する前に、汚染されている可能性があるデータを検証する
BD.SECURITY.TDDIG - Jakarta Digester インジェクションから防御する
BD.SECURITY.TDENV - 環境に対するインジェクションから防御する
BD.SECURITY.TDFILES - ファイルに対するインジェクションから防御する
BD.SECURITY.TDFNAMES - ファイル名インジェクションから防御する
BD.SECURITY.TDINPUT - フォーマット文字列からサニタイズされていないユーザー入力を除外する
BD.SECURITY.TDJXPATH - JXPath インジェクションから防御する
BD.SECURITY.TDLDAP - LDAP インジェクションから防御する
BD.SECURITY.TDLIB - ライブラリ インジェクションから防御する
BD.SECURITY.TDLOG - ログの偽造から防御する
BD.SECURITY.TDNET - ネットワーク リソース インジェクションから防御する
BD.SECURITY.TDPASSWD - 保護されていない認証情報の使用から保護する
BD.SECURITY.TDRESP - HTTP レスポンス分割から防御する
BD.SECURITY.TDRFL - Reflection インジェクションから防御する
BD.SECURITY.TDSESSION - 信頼されていないデータを HTTP セッションに格納しない
BD.SECURITY.TDSQL - SQL インジェクションから防御する
BD.SECURITY.TDXML - XML データ インジェクションから防御する
BD.SECURITY.TDXPATH - XPath インジェクションから防御する
BD.SECURITY.TDXSS - XSS 脆弱性から防御する
BD.SECURITY.VPPD - すべての危険なデータを検証する
BD.SECURITY.XMLVAL - 信頼されていない XML を読み取る前にスキーマまたは DTD を使用して検証する
BD.TRS.DIFCS - 変数は単一のクリティカル セクションのコンテキストで使用するべきである
BD.TRS.DLOCK - 二重ロックを避ける
BD.TRS.INSTLOCK - 共有の静的データを保護するためにインスタンス ロックを使用しない
BD.TRS.LOCK - 解放されていないロックを放棄してはならない
BD.TRS.ORDER - 異なる順序でロックを獲得しない
BD.TRS.TSHL - ロックを保持しているときにブロッキング メソッドを使用してはならない
BEAN.BLNC - JavaBean クラスでリスナー メソッド名のシグニチャを推進する
BEAN.EQUALS - JavaBean クラスは常に Object.equals () をオーバーライドする
BEAN.JDBC - JavaBean クラスで JDBC コードを使用することを避ける
BEAN.NFM - インスタンス フィールドは get および set メソッドを持たなければならない
BEAN.SERIALIZABLE - JavaBean クラスは java.io.Serializable を実装しなければならない
CDD.DFI - コンストラクターでフィールド初期化の重複を避ける
CDD.DUPC - コードの重複を避ける
CDD.DUPI - 重複した import ステートメントを避ける
CDD.DUPM - メソッドの重複を避ける
CDD.DUPS - 文字列リテラルの重複を避ける
CDD.DUPT - クラスの重複を避ける
CODSTA.BP.ABCL - ラベル付きの break または continue を避ける
CODSTA.BP.AMRO - Object を返すメソッドを宣言しない
CODSTA.BP.ARM - リフレクション メソッドを使用しない
CODSTA.BP.ARN - 配列および特定の型に対して null を返すのを避ける
CODSTA.BP.AULS - ラベルを使用してはいけない
CODSTA.BP.AUML - 複数のロガーの使用を避ける。代わりにロギング レベルを使用する
CODSTA.BP.AWRT - メソッドの戻り値の型にワイルドカードを使用しない
CODSTA.BP.BLK - 条件文で '{}' ブロックを使用する
CODSTA.BP.BLOCK - 不要なネストされたブロックを避ける
CODSTA.BP.CFNF - すべての大文字のフィールドは final として宣言する
CODSTA.BP.CMUTA - 不変クラスで public または protected コンストラクターを使用しない
CODSTA.BP.CONTINUE - break 文または continue 文を使用しない
CODSTA.BP.CS - 比較式では適切な側に定数を置く
CODSTA.BP.DLSF - ロガーを static final フィールドとして宣言する
CODSTA.BP.EXIT - Java 仮想マシンを終了するメソッドを呼び出してはならない
CODSTA.BP.FPF - すべての仮引数を final とする
CODSTA.BP.FQNIC - インターフェイス定数を参照する場合は、定数を宣言しているインターフェイス名を付ける
CODSTA.BP.HTV - Hashtable と Vector を使用しないようにする
CODSTA.BP.IMPTD - import 文でのワイルドカード (*) の使用を避けるまたは推進する
CODSTA.BP.NRVA - 可変個引数メソッドに具体化できない型を渡さない
CODSTA.BP.NTX - CODSTA.BP.NTX一般的または非チェック例外型を throw するメソッドの宣言を避ける
CODSTA.BP.OCMA - オーバーロードされたコンストラクターまたはメソッドのアクセシビリティをすべて同じにする
CODSTA.BP.PCF - private コンストラクターだけを持つクラスは final として宣言する
CODSTA.BP.PPAC - 匿名クラスに public または protected メンバーを宣言しない
CODSTA.EPC.AFP - メソッド引数に代入しない
CODSTA.EPC.AGBPT - パラメーター化された型から RAW 型への変換を避ける
CODSTA.EPC.CLNC - clone() メソッドでコンストラクターを使用しない
CODSTA.EPC.COMT - 数値の型が一致しない条件演算子を使用しない
CODSTA.EPC.IBS - 変数宣言では、byte または short 型の代わりに int 型を使用し、float 型の代わりに double 型を使用する
CODSTA.EPC.MSF - 多数の非 final static フィールドを使用してはならない
CODSTA.EPC.NCAC - abstract クラスのコンストラクターから abstract メソッドを呼び出さない
CODSTA.EPC.NCE - 一般的な型の例外や非チェック例外をキャッチしてはいけない
CODSTA.EPC.NCNFC - コンストラクターの実行中に予想外の NullPointerExceptions を引き起こす可能性があるメソッドを使用してはいけない
CODSTA.EPC.OVERLOAD - 適切にオーバーロードする
CODSTA.EPC.SCLONE - すべての clone() メソッドで super.clone() を呼び出す
CODSTA.EPC.STA - 同じジェネリック型変数を複数のメソッド引数で使用してはならない
CODSTA.EPC.UST - 文字列の構文解析には、indexOf() や substring() ではなく StringTokenizer を使用する
CODSTA.EPC.WSIM - static でないメソッドから static フィールドに書き込まない
CODSTA.OIM.AMMO - 抽象メソッドを使ってペアレント クラスの非抽象メソッドをオーバーライドしてはいけない
CODSTA.OIM.CLONE - final ではない Cloneable クラスの clone() メソッドが必ず CloneNotSupportedException を throw するようにする
CODSTA.OIM.CLONE2 - clone() メソッドを使用するのは、Cloneable インターフェイスの実装のためだけにする
CODSTA.OIM.CLONET - final ではない Cloneable クラスの clone() メソッドが必ず CloneNotSupportedException を throw するようにする
CODSTA.OIM.DVOM - toString() をオーバーライドする enum 型に、static な valueOf() メソッドを定義する
CODSTA.OIM.OTOSM - toString() をオーバーライドする
CODSTA.OIM.OVERRIDE - Object.equals() と Object.hashCode() は常に一緒にオーバーライドする
CODSTA.OIM.OVOTS - 列挙型で toString() をオーバーライドしてはいけない
CODSTA.ORG.AMOC - 1 つのファイルに複数の型を入れてはいけない
CODSTA.ORG.ASSERT - 運用コード内でアサーションを使用しない
CODSTA.ORG.DCI - インターフェイスで定数を定義する
CODSTA.ORG.DINT - インナー クラスではないクラスからインナー クラスのメソッドを呼び出さない
CODSTA.ORG.FO - クラス要素を適切な順序で並べる
CODSTA.ORG.IMP - 特定のクラスまたはパッケージをインポートするのを避ける
CODSTA.ORG.OGM - メソッドを名前別に編成する
CODSTA.ORG.ORCU - コンパイル単位要素を適切な順序で並べる
CODSTA.ORG.ORFIM - public メソッドと protected メソッドの間に finalize メソッドを置く
CODSTA.ORG.ORIMP - import 文をアルファベット順に並べる
CODSTA.ORG.PML - main () を最後に置く
CODSTA.ORG.TODOJAVA - コメントにタスク タグが含まれていないことを確認する
CODSTA.ORG.TODOPROP - コメントにタスク タグが含まれていないことを確認する
CODSTA.ORG.TODOXML - コメントにタスク タグが含まれていないことを確認する
CODSTA.ORG.UNDPN - すべての型がデフォルト以外のパッケージ名を持つようにする
CODSTA.POD.ACIAP - 定数インターフェイス アンチパターンを避ける
CODSTA.POD.ASM - 宣言しているクラスが引数の型の場合、static メソッドを避ける
CODSTA.POD.AUVT - 疎結合を実現するために、具体性がより低い型を使用する
CODSTA.POD.CHAIN - 複数のコンストラクターを持つクラスではチェーンコンストラクターを使用する
CODSTA.POD.CIOC - instanceof 比較のチェーンを避ける
CODSTA.POD.DCTOR - 可能なかぎりデフォルト コンストラクターを定義する
CODSTA.POD.IASM - static メンバーに間接的にアクセスしてはいけない
CODSTA.POD.ISACF - インターフェイスに定数を定義しない
CODSTA.POD.SMC - case 文が多すぎる/少なすぎる switch 文を避ける
CODSTA.POD.UET - 一連の static final の代わりに enum 型を使用する
CODSTA.POD.UPT - パラメーター化された型を使用する
CODSTA.READ.ABUB - プリミティブ型の自動的なボックス化/ボックス化解除に依存しない
CODSTA.READ.ACCS - 制御構造 文での複雑な条件式の使用は避ける
CODSTA.READ.AEFS - 拡張された for ループの使用を避ける/推奨する
CODSTA.READ.AFD - getter/setter メソッドを使用するのではなく、宣言している型で直接フィールドのアクセス/設定を行う
CODSTA.READ.AFQN - 完全修飾型名を使用しない
CODSTA.READ.AIC - 無名のインナー クラスを避ける
CODSTA.READ.ANL - if-else 文での負論理の使用を避ける
CODSTA.READ.ASIS - static なインポート文を使用しない
CODSTA.READ.AUTS - 不要な toString() の呼び出しを避ける
CODSTA.READ.CCB - 制御構造の末尾にコメントを付ける
CODSTA.READ.CEB - 空のブロックにコメントを付ける
CODSTA.READ.CID - ネストされた式で加算演算子または減算演算子を使用してはいけない
CODSTA.READ.CLV - ローカル変数にコメントを付ける
CODSTA.READ.CTA - 常に空の定数配列で Collection.toArray() を呼び出す
CODSTA.READ.CX - 条件演算子の使用を推進する/しない
CODSTA.READ.DOWHILE - do-while の使用を避ける
CODSTA.READ.DUN - 単一メソッドで多数の否定演算子 \"!\" を使用しない
CODSTA.READ.DVCU - 変数はできるだけ使用される場所の近くで宣言する
CODSTA.READ.ECSC - すべてのコンストラクターからスーパークラスのコンストラクターの 1 つを明示的に呼び出す
CODSTA.READ.FF - private 定数フィールドを final 宣言する
CODSTA.READ.FLV - 定数ローカル変数を final 宣言する
CODSTA.READ.HBE - 16 進の 2 進指数を避ける
CODSTA.READ.LONG - long 型の定数の最後に小文字の\"l\" または数字の \"1\" を使用しない
CODSTA.READ.MTBS - try ブロックの大きさを最小にする
CODSTA.READ.MVOS - 1 つのステートメントで複数の変数を宣言しない
CODSTA.READ.NEA - ネストされた代入または他の式に埋め込まれた代入を避ける
CODSTA.READ.NMUC - 変更されない Collection を明確にするため unmodifiable として宣言する
CODSTA.READ.NSI - static ではないイニシャライザーの使用を避ける
CODSTA.READ.PCIF - イニシャライザー、条件文、更新文のある for ループを宣言する
CODSTA.READ.PCTOR - public ではないクラスに public コンストラクターを宣言しない
CODSTA.READ.PDBB - 宣言はブロックの先頭にだけ書く
CODSTA.READ.PFL - for ループまたは while ループの使用を義務付ける
CODSTA.READ.SIE - size() と 0 を比較するのではなく、Collection および Map の isEmpty() を使用する
CODSTA.READ.UATS - this と super の使用を避けるまたは推進する
CODSTA.READ.UBL - Integer.parseInt() メソッドを使用して 2 進表記から整数値を作成してはならない
CODSTA.READ.ULIT - 数値リテラルでアンダースコア文字 (_) を使用する
CODSTA.READ.USN - リテラル定数は使用しない
CODSTA.READ.VDT - 型が異なる複数の変数を 1 つのステートメントで宣言しない
CODSTA.READ.VIFS - for ループでの初期化と更新の数を制限する
CWE.1004.SCHTTP - cookie を HttpOnly としてマークする
CWE.102.DFV - validation.xml でフォームの重複を避ける
CWE.103.CSVFV - ActionForm クラスの検証メソッドから必ず super.validate() メソッドを呼び出すこと
SECURITY.IBA.AEAF - DStruts クラスの ActionForm および DynaActionForm を継承してはいけない
CWE.106.PLUGIN - struts-config.xml にプラグインが追加されていることを確認する
CWE.109.EV - Struts の struts-config.xml でバリデーターが有効であることを確認する
CWE.111.NATIW - ネイティブ メソッドを安全にするためにラッパーを使用する
CWE.111.NATV - ユーザー定義の native メソッドを使用しない
CWE.113.TDRESP - HTTP レスポンス分割から防御する
CWE.114.APIBS - セキュリティを迂回する標準 API 呼び出しの使用を検査する
CWE.114.TDLIB - ライブラリ インジェクションから防御する
CWE.117.TDLOG - ログの偽造から防御する
CWE.119.ARRAY - 配列の境界を超えてアクセスしてはならない
CWE.119.ARRAYINP - 未検証の入力を配列インデックスとして使用しない
CWE.119.BSA - [0, 31] の範囲を超える整数をシフト量として使用しない
CWE.119.BUSSB - 外部プロセスが出力またはエラー ストリームをブロックするのを防ぐ
CWE.119.FREE - 解放されたリソースを使用してはならない
CWE.125.ARRAY - 配列の境界を超えてアクセスしてはならない
CWE.125.ARRAYINP - 未検証の入力を配列インデックスとして使用しない
CWE.129.ARRAY - 配列の境界を超えてアクセスしてはならない
CWE.129.ARRAYINP - 未検証の入力を配列インデックスとして使用しない
CWE.129.CAI - 配列にアクセスする前に、使用するパラメーターをチェックする
CWE.131.ARRAY - 配列の境界を超えてアクセスしてはならない
CWE.131.TDINPUT - フォーマット文字列からサニタイズされていないユーザー入力を除外する
CWE.15.SYSP - システム プロパティにアクセスまたは値を設定してはならない
CWE.15.UCO - Context Object を使って HTTP リクエスト パラメーターを管理する
CWE.185.REP - String.replaceAll() および String.replaceFirst() の正規表現として "." を使用しない
CWE.190.BSA - [0, 31] の範囲を超える整数をシフト量として使用しない
CWE.190.CACO - オーバーフローの原因となるかもしれない場合は複合代入演算子の使用を避ける
CWE.190.CLP - 基本データ型を精度の低い型にキャストしない
CWE.190.ICO - オーバーフローまたは NaN になる計算を避ける
CWE.190.INTOVERF - 整数のオーバーフローを避ける
CWE.190.IOF - オーバーフローの可能性がある場合、除算ではなく符号なしの右シフトを使用する
CWE.191.BSA - [0, 31] の範囲を超える整数をシフト量として使用しない
CWE.191.INTOVERF - 整数のオーバーフローを避ける
CWE.193.AOBO - ループ条件で「1 つずれる」エラーを避ける
CWE.20.AEAF - DStruts クラスの ActionForm および DynaActionForm を継承してはいけない
CWE.20.APIBS - セキュリティを迂回する標準 API 呼び出しの使用を検査する
CWE.20.ARRAY - 配列の境界を超えてアクセスしてはならない
CWE.20.ARRAYINP - 未検証の入力を配列インデックスとして使用しない
CWE.20.ARXML - ただのテキストではなくライブラリで XML および HTML を処理する
CWE.20.ASAPI - scripting API が信頼性のないコードを実行するのを防ぐ
CWE.20.BSA - [0, 31] の範囲を超える整数をシフト量として使用しない
CWE.20.BUSSB - 外部プロセスが出力またはエラー ストリームをブロックするのを防ぐ
CWE.20.CACO - オーバーフローの原因となるかもしれない場合は複合代入演算子の使用を避ける
CWE.20.CAI - 配列にアクセスする前に、使用するパラメーターをチェックする
CWE.20.CDBV - 検証の前にすべてのデータを正規化する
CWE.20.CLP - 基本データ型を精度の低い型にキャストしない
CWE.20.CSVFV - ActionForm クラスの検証メソッドから必ず super.validate() メソッドを呼び出すこと
CWE.20.DCEMSL - Seam Logging API を使用してメッセージをログに記録する場合、信頼されていない入力を使用しない
CWE.20.DFV - validation.xml でフォームの重複を避ける
CWE.20.EACM - 危険なメソッドの引数を検証メソッドでカプセル化する
CWE.20.EV - Struts の struts-config.xml でバリデーターが有効であることを確認する
CWE.20.FREE - 解放されたリソースを使用してはならない
CWE.20.ICO - オーバーフローまたは NaN になる計算を避ける
CWE.20.INTOVERF - 整数のオーバーフローを避ける
CWE.20.IOF - オーバーフローの可能性がある場合、除算ではなく符号なしの右シフトを使用する
CWE.20.NATIW - ネイティブ メソッドを安全にするためにラッパーを使用する
CWE.20.NATV - ユーザー定義の native メソッドを使用しない
CWE.20.PLUGIN - struts-config.xml にプラグインが追加されていることを確認する
CWE.20.SYSP - システム プロパティにアクセスまたは値を設定してはならない
CWE.20.TDCMD -コマンド インジェクションから防御する
CWE.20.TDCODE - コードを生成するメソッドで使用する前に、汚染されている可能性があるデータを検証する
CWE.20.TDDIG - Jakarta Digester インジェクションから防御する
CWE.20.TDINPUT - フォーマット文字列からサニタイズされていないユーザー入力を除外する
CWE.20.TDJXPATH - JXPath インジェクションから防御する
CWE.20.TDLDAP - LDAP インジェクションから防御する
CWE.20.TDLIB - ライブラリ インジェクションから防御する
CWE.20.TDLOG - ログの偽造から防御する
CWE.20.TDNET - ネットワーク リソース インジェクションから防御する
CWE.20.TDRESP - HTTP レスポンス分割から防御する
CWE.20.TDRFL - Reflection インジェクションから防御する
CWE.20.TDSQL - SQL インジェクションから防御する
CWE.20.TDXML - XML データ インジェクションから防御する
CWE.20.TDXPATH - XPath インジェクションから防御する
CWE.20.TDXSS - XSS 脆弱性から防御する
CWE.20.UCO - Context Object を使って HTTP リクエスト パラメーターを管理する
CWE.20.UPS - createStatement ではなく prepareCall または prepareStatement を使用する
CWE.20.VPPD - すべての危険なデータを検証する
CWE.20.VRD - すべてのリダイレクトおよびフォワード URL を検証メソッドでカプセル化する
CWE.20.XPIJ - XPath クエリーの評価での XPath インジェクションを防ぐ
CWE.200.ACPST - Throwable オブジェクトの printStackTrace() メソッドを呼び出さない
CWE.200.CONSEN - 機密情報をログに記録しない
CWE.200.EWSSEC - Spring Security フレームワークからのデバッグ情報をログに記録しない
CWE.200.FT - シリアライズ可能ではないクラスに transient フィールドを宣言しない
CWE.200.PEO - 機密情報のリークを防ぐため、例外メッセージを出力に渡してはならない
CWE.200.SENS - 機密データの公開を防止する
CWE.200.SIO - System.err または System.out の print メソッドの呼び出しを避ける
CWE.209.ACPST - Throwable オブジェクトの printStackTrace() メソッドを呼び出さない
CWE.209.PEO - 機密情報のリークを防ぐため、例外メッセージを出力に渡してはならない
CWE.209.SENS - 機密データの公開を防止する
CWE.209.SIO - System.err または System.out の print メソッドの呼び出しを避ける
CWE.212.FT - シリアライズ可能ではないクラスに transient フィールドを宣言しない
CWE.213.CONSEN - 機密情報をログに記録しない
CWE.215.EWSSEC - Spring Security フレームワークからのデバッグ情報をログに記録しない
CWE.22.TDFNAMES - ファイル名インジェクションから防御する
CWE.245.JDBCTEMPLATE - ネイティブ JDBC の使用を避ける
CWE.246.AUS - EJB でソケットを使用しない
CWE.246.NSF - Web コンポーネントで Socket.setSocketImplFactory() または URL.setURLStreamHandlerFactory() を呼び出さない
CWE.246.SS - Web コンポーネントでソケットを使用しない
CWE.250.LDP - 1 クラスあたりの AccessController.doPrivileged の呼び出しの数を制限する
CWE.250.PCL - 「特権付き」コード ブロックの行数を制限する
CWE.252.CHECKRET - 非 void メソッドの戻り値を必ずチェックする
CWE.252.CRRV - 読み込みまたはスキップを行うメソッドの戻り値を確認する
CWE.256.PCCF - Castor の jdo-conf.xml でユーザー名およびパスワードをプレーン テキストに保存しない
CWE.256.PLAIN - パスワード情報がプレーンテキストでプロパティ ファイルに含まれていてはならない
CWE.256.PTPT - Axis の wsdd ファイルでプレーン テキストのパスワードを使用しない
CWE.256.PWDPROP - パスワードがプレーンテキストとして格納されず、十分な長さがあることを確認する
CWE.256.PWDXML - パスワードがプレーンテキストとして格納されず、十分な長さがあることを確認する
CWE.256.TDPASSWD - 保護されていない認証情報の使用から保護する
CWE.256.UPWD - 暗号化されていない Hibernate ユーザ名およびパスワードを web.xml ファイルに保存しない
CWE.256.UTAX - Axis2 構成ファイルでプレーン テキストのパスワードを使用しない
CWE.256.WCPWD - WebSphere の ibm-webservicesclient-ext.xmi ファイルの設定でパスワードを暗号化する
CWE.256.WPWD - WebSphere の ibm-webservices-ext.xmi ファイルの設定でパスワードを暗号化する
CWE.258.PWDPROP - パスワードがプレーンテキストとして格納されず、十分な長さがあることを確認する
CWE.260.UTAX - Axis2 構成ファイルでプレーン テキストのパスワードを使用しない
CWE.261.CKTS - 短すぎる暗号化キーを避ける
CWE.269.DPANY - ANYONE ロールに EJB のアクセス パーミッションを与えない
CWE.269.LDP - 1 クラスあたりの AccessController.doPrivileged の呼び出しの数を制限する
CWE.269.PCL - 「特権付き」コード ブロックの行数を制限する
CWE.287.CAM - すべての認証メソッドを集中化して一貫性を徹底する
CWE.287.CKTS - 短すぎる暗号化キーを避ける
CWE.287.DNSL - 意思決定のための DNS ルックアップを避ける
CWE.287.HCCK - ハード コーディングされた暗号化キーの使用を避ける
CWE.287.HCCS - ハードコーディングされたユーザー名/パスワード/URL をデータベース接続メソッドに渡すことを避ける
CWE.287.HV - HostnameVerifier.verify() メソッドが証明書を検証していることを確認する
CWE.287.MLVP - validation.xml ファイルのパスワード フィールドに minlength バリデーターを使用する
CWE.287.PCCF - Castor の jdo-conf.xml でユーザー名およびパスワードをプレーン テキストに保存しない
CWE.287.PLAIN - パスワード情報がプレーンテキストでプロパティ ファイルに含まれていてはならない
CWE.287.PTPT - Axis の wsdd ファイルでプレーン テキストのパスワードを使用しない
CWE.287.PWDPROP - パスワードがプレーンテキストとして格納されず、十分な長さがあることを確認する
CWE.287.PWDXML - パスワードがプレーンテキストとして格納されず、十分な長さがあることを確認する
CWE.287.SSM - 適切なセキュリティ マネージャーを設定する
CWE.287.TDPASSWD - 保護されていない認証情報の使用から保護する
CWE.287.UOSC - getSecure() および setSecure() メソッドを使ってセキュアな Cookie の使用を推進する
CWE.287.UPWD - 暗号化されていない Hibernate ユーザ名およびパスワードを web.xml ファイルに保存しない
CWE.287.USC - 可能であれば SSL を利用できるクラスを使用する
CWE.287.UTAX - Axis2 構成ファイルでプレーン テキストのパスワードを使用しない
CWE.287.VSI - サーバー識別子を適切に検証する
CWE.287.WCPWD - WebSphere の ibm-webservicesclient-ext.xmi ファイルの設定でパスワードを暗号化する
CWE.287.WPWD - WebSphere の ibm-webservices-ext.xmi ファイルの設定でパスワードを暗号化する
CWE.295.HV - HostnameVerifier.verify() メソッドが証明書を検証していることを確認する
CWE.297.VSI - サーバー識別子を適切に検証する
CWE.306.CAM - すべての認証メソッドを集中化して一貫性を徹底する
CWE.306.SSM - 適切なセキュリティ マネージャーを設定する
CWE.306.UOSC - getSecure() および setSecure() メソッドを使ってセキュアな Cookie の使用を推進する
CWE.306.USC - 可能であれば SSL を利用できるクラスを使用する
CWE.309.MLVP - validation.xml ファイルのパスワード フィールドに minlength バリデーターを使用する
CWE.311.HTTPS - axis2.xml 構成ファイルの transportReceiver および transportSender で http ではなく https を使用する
CWE.311.PLAIN - パスワード情報がプレーンテキストでプロパティ ファイルに含まれていてはならない
CWE.311.PWDPROP - パスワードがプレーンテキストとして格納されず、十分な長さがあることを確認する
CWE.311.PWDXML - パスワードがプレーンテキストとして格納されず、十分な長さがあることを確認する
CWE.311.SENS - 機密データの公開を防止する
CWE.311.USC - 可能であれば SSL を利用できるクラスを使用する
CWE.312.PWDPROP - パスワードがプレーンテキストとして格納されず、十分な長さがあることを確認する
CWE.313.PLAIN - パスワード情報がプレーンテキストでプロパティ ファイルに含まれていてはならない
CWE.315.PLC - 機密データを cookie にプレーンテキストで格納してはならない
CWE.319.HCNA - IP アドレスとポート番号をハード コーディングしてはいけない
CWE.321.HCCK - ハード コーディングされた暗号化キーの使用を避ける
CWE.325.MCMDU - MessageDigest オブジェクトは 'update' メソッドでデータを処理する必要がある
CWE.325.SIKG - KeyGenerator インスタンスを初期化する
CWE.326.AISSAJAVA - Spring でのデータ暗号化で、セキュアではない暗号化アルゴリズムを使用しない
CWE.326.AISSAXML - Spring XML 設定ファイルで、セキュアではない暗号化アルゴリズムを使用しない
CWE.326.AUNC - 非テスト クラスでの javax.crypto.NullCipher クラスの使用を避ける
CWE.326.CKTS - CWE.326.CKTS - 短すぎる暗号化キーを避ける
CWE.326.ICA - 安全でないアルゴリズムを暗号化のために使用しない
CWE.326.MDSALT - ハッシュ関数は salt とともに使用する
CWE.326.SRD - java.util.Random または Math.random() の代わりに java.security.SecureRandom を使用する
CWE.327.ACMD - MessageDigest のカスタム実装の使用を避ける
CWE.327.AISSAJAVA - Spring でのデータ暗号化で、セキュアではない暗号化アルゴリズムを使用しない
CWE.327.AISSAXML - Spring XML 設定ファイルで、セキュアではない暗号化アルゴリズムを使用しない
CWE.327.AUNC - 非テスト クラスでの javax.crypto.NullCipher クラスの使用を避ける
CWE.327.ICA - 安全でないアルゴリズムを暗号化のために使用しない
CWE.327.SRD - java.util.Random または Math.random() の代わりに java.security.SecureRandom を使用する
CWE.328.AISSAJAVA - Spring でのデータ暗号化で、セキュアではない暗号化アルゴリズムを使用しない
CWE.328.AISSAXML - Spring XML 設定ファイルで、セキュアではない暗号化アルゴリズムを使用しない
CWE.328.AUNC - 非テスト クラスでの javax.crypto.NullCipher クラスの使用を避ける
CWE.328.ICA - 安全でないアルゴリズムを暗号化のために使用しない
CWE.328.MDSALT - ハッシュ関数は salt とともに使用する
CWE.328.SRD - java.util.Random または Math.random() の代わりに java.security.SecureRandom を使用する
CWE.329.ENPP - 特定のメソッドに渡される引数が事前に定義されたメソッドのリストからきていることを確認する
CWE.329.IVR - IvParameterSpec を使用する際はランダムではない byte[] を避ける
CWE.336.ENPP - 特定のメソッドに渡される引数が事前に定義されたメソッドのリストからきていることを確認する
CWE.337.ENPP - 特定のメソッドに渡される引数が事前に定義されたメソッドのリストからきていることを確認する
CWE.338.SRD - java.util.Random または Math.random() の代わりに java.security.SecureRandom を使用する
CWE.347.VJFS - 必ず JarFile シグニチャを検証する
CWE.350.DNSL - 意思決定のための DNS ルックアップを避ける
CWE.352.DCSRFJAVA - CSRF 防護を無効にしない
CWE.352.DCSRFXML - CSRF 防護を無効にしない
CWE.352.EACM - 危険なメソッドの引数を検証メソッドでカプセル化する
CWE.352.REQMAP - @RequestMapping アノテーションがあるメソッドに呼び出す HTTP メソッドが指定されていることを確認する
CWE.352.TDRESP - HTTP レスポンス分割から防御する
CWE.352.TDXSS - XSS 脆弱性から防御する
CWE.352.UOSC - getSecure() および setSecure() メソッドを使ってセキュアな Cookie の使用を推進する
CWE.352.VPPD - すべての危険なデータを検証する
CWE.359.CONSEN - 機密情報をログに記録しない
CWE.362.DCL - 安全ではない「ダブルチェック ロッキング」パターンの実装を避ける
CWE.366.TSHL - ロックを保持しているときにブロッキング メソッドを使用してはならない
CWE.367.TOCTOU - Time-of-check Time-of-use (TOCTOU) 競合状況を避ける
CWE.369.ZERO - ゼロによる除算を避ける
CWE.375.RA - 配列や他の可変フィールドの返却によって内部表現を公開するかもしれないメソッドは避ける
CWE.377.ATF - テンポラリ ファイルを使用しない
CWE.382.EXIT - Java 仮想マシンを終了するメソッドを呼び出してはならない
CWE.382.JVM - Web コンポーネントで JVM を停止しない
CWE.383.THR - Web コンポーネントでスレッドを使用しない
CWE.384.ISL - LoginContext.login() の前に必ず HttpSession.invalidate() を呼び出すこと
CWE.390.LGE - すべての例外が標準のロガーでログに記録されるか、再 throw されるようにする
CWE.391.AECB - 空の try、catch、finally ブロックを避ける
CWE.395.NCNPE - NullPointerException をキャッチしてはいけない
CWE.396.NCE - 一般的な型の例外や非チェック例外をキャッチしてはいけない
CWE.397.NTERR - 一般的な例外または非チェック例外を throw しない
CWE.397.NTX - CODSTA.BP.NTX一般的または非チェック例外型を throw するメソッドの宣言を避ける
CWE.401.LML - サーブレットではサイズの制限がない Collection の使用を避ける
CWE.404.COCO - 正しい順序で JDBC オブジェクトをクローズする
CWE.404.CRWD - できるだけ早くリソースをクローズする
CWE.404.ODBIL - ループ中で JDBC 接続をオープン/クローズしてはいけない
CWE.413.LORD - ネストされたロックの順序が正しいことを確認する
CWE.416.FREE - 解放されたリソースを使用してはならない
CWE.426.PBRTE - 必ず実行コマンドへの絶対パスを指定する
CWE.434.TDFNAMES - ファイル名インジェクションから防御する
CWE.456.LV - 宣言文ですべてのローカル変数を明示的に初期化する
CWE.457.NOTEXPLINIT - 明示的に初期化する前の使用を避ける
CWE.457.NOTINITCTOR - コンストラクターおよび静的イニシャライザーで初期化する前にフィールドを使用しない
CWE.457.NP - NullPointerException を避ける
CWE.459.LEAKS - リソースが割り当て解除されていることを確認する
CWE.470.APIBS - セキュリティを迂回する標準 API 呼び出しの使用を検査する
CWE.470.TDRFL - Reflection インジェクションから防御する
CWE.476.DEREF - null チェックの前に間接参照しない
CWE.476.NP - NullPointerException を避ける
CWE.477.DPRAPI - 非推奨の API を使用しない
CWE.478.PDS - 各 switch 文に default: を用意する
CWE.481.ASI - 条件の中で代入しない
CWE.483.BLK - 条件文で '{}' ブロックを使用する
CWE.483.EB - 本体が空の制御文を避ける
CWE.483.EBI - 誤って文をブロックの外に置くのを避ける
CWE.484.DAV - switch 文の case のフォールスルーで同じ変数に代入してはならない
CWE.484.SBC - 不正な case を含む switch 文を避ける
CWE.486.AUG - java.lang.Class オブジェクトの getName() メソッドの使用を検査する
CWE.486.CMP - クラス オブジェクトを名前で比較しない
CWE.487.AF - public/ protected/ package-private フィールドを避ける
CWE.491.CLONE - セキュリティのために clone () を final 宣言する
CWE.495.RA - 配列や他の可変フィールドの返却によって内部表現を公開するかもしれないメソッドは避ける
CWE.496.CAP - フィールドに格納される配列引数を必ず複製する
CWE.497.PEO - 機密情報のリークを防ぐため、例外メッセージを出力に渡してはならない
CWE.497.SENS - 機密データの公開を防止する
CWE.499.SER - クラスはシリアライズ不可にする
CWE.499.SIF - serializable オブジェクトのインスタンス フィールドをチェックして機密データを公開していないことを確認する
CWE.500.SPFF - static final 宣言が意図されていた可能性のある static フィールドを検査する
CWE.501.TDSESSION - 信頼されていないデータを HTTP セッションに格納しない
CWE.502.AUXD - XMLDecoder で信頼されていないデータを解析しない
CWE.502.MASP - serializable クラスの readResolve() と writeReplace() メソッドには、protected アクセシビリティを指定する
CWE.502.RWAF - すべてのフィールドを readObject() メソッドによって代入し writeObject() によって書き出す
CWE.502.SC - LDAP のデシリアライズを無効化する
CWE.502.SSSD - 機密データを安全にシリアライズする
CWE.502.VOBD - デシリアライズの前にオブジェクトを検証する
CWE.506.HCCK - ハード コーディングされた暗号化キーの使用を避ける
CWE.511.RDM - Random オブジェクトまたは Math.random() メソッドを調査して悪意のあるコードがないことを検証する
CWE.521.MLVP - validation.xml ファイルのパスワード フィールドに minlength バリデーターを使用する
CWE.522.PCCF - Castor の jdo-conf.xml でユーザー名およびパスワードをプレーン テキストに保存しない
CWE.522.PLAIN - パスワード情報がプレーンテキストでプロパティ ファイルに含まれていてはならない
CWE.522.PTPT - Axis の wsdd ファイルでプレーン テキストのパスワードを使用しない
CWE.522.PWDPROP - パスワードがプレーンテキストとして格納されず、十分な長さがあることを確認する
CWE.522.PWDXML - パスワードがプレーンテキストとして格納されず、十分な長さがあることを確認する
CWE.522.TDPASSWD - 保護されていない認証情報の使用から保護する
CWE.522.UPWD - 暗号化されていない Hibernate ユーザ名およびパスワードを web.xml ファイルに保存しない
CWE.522.USC - 可能であれば SSL を利用できるクラスを使用する
CWE.522.UTAX - Axis2 構成ファイルでプレーン テキストのパスワードを使用しない
CWE.522.WCPWD - WebSphere の ibm-webservicesclient-ext.xmi ファイルの設定でパスワードを暗号化する
CWE.522.WPWD - WebSphere の ibm-webservices-ext.xmi ファイルの設定でパスワードを暗号化する
CWE.523.USC - 可能であれば SSL を利用できるクラスを使用する
CWE.532.CONSEN - 機密情報をログに記録しない
CWE.543.IASF - 同期化が必要な可能性のある static フィールドへのアクセスを検査する
CWE.543.ILII - スレッドセーフな遅延初期化にする
CWE.546.TODOJAVA - コメントにタスク タグが含まれていないことを確認する
CWE.546.TODOPROP - コメントにタスク タグが含まれていないことを確認する
CWE.546.TODOXML - コメントにタスク タグが含まれていないことを確認する
CWE.555.PWDXML - パスワードがプレーンテキストとして格納されず、十分な長さがあることを確認する
CWE.555.UPWD - 暗号化されていない Hibernate ユーザ名およびパスワードを web.xml ファイルに保存しない
CWE.561.CC - 常に同じ値に評価される条件式を避ける
CWE.561.DEREF - null チェックの前に間接参照しない
CWE.561.PM - 未使用の private メソッドを避ける
CWE.561.SWITCH - switch 文には到達できないブランチがあってはならない
CWE.563.AURV - 決して読まれないローカル変数の使用を避ける
CWE.563.PF - 未使用の private フィールドを避ける
CWE.563.POVR - 使用前にメソッド パラメーターを上書きすることを避ける
CWE.563.UP - 使用されないパラメーターを避ける
CWE.563.VOVR - 未使用の値を避ける
CWE.566.AUSS - SQL クエリ内の "SELECT *" を避ける
CWE.568.FCF - finalize () から必ず super.finalize () を呼び出す
CWE.570.CC - 常に同じ値に評価される条件式を避ける
CWE.570.UCIF - 不要な if 文を避ける
CWE.571.CC - 常に同じ値に評価される条件式を避ける
CWE.571.UCIF - 不要な if 文を避ける
CWE.572.IRUN - java.lang.Thread を拡張するクラスまたは java.lang.Runnable を実装するクラスで run() を直接呼び出さない
CWE.576.JIO - bean クラスで java.io パッケージの型を使用しない
CWE.577.AUS - EJB でソケットを使用しない
CWE.578.ACL - bean クラスでクラス ローダーのアクセス、使用、作成を行わない
CWE.579.SNSO - Serializable ではないオブジェクトを HttpSession 属性として格納しない
CWE.580.SCLONE - すべての clone() メソッドで super.clone() を呼び出す
CWE.581.OVERRIDE - Object.equals() と Object.hashCode() は常に一緒にオーバーライドする
CWE.582.IMM - static final フィールドを不変にする
CWE.582.PSFA - public static final 配列フィールドの使用を避ける
CWE.583.MFP - finalize() メソッドは protected で宣言する
CWE.584.ARCF - try-catch ブロック内に return 文がある場合、 finally ブロックでの return 文の使用を避ける
CWE.585.SNE - 空の synchronized 文を避ける
CWE.586.NCF - finalize () を明示的に呼び出さない
CWE.594.SIVS - @Stateful bean のインスタンス変数を Serializable にする
CWE.595.UEIC - オブジェクト同士の比較に '==' または '!=' を使用しない
CWE.6.SLID - セッション ID の長さが適切であることを確認する
CWE.600.CETS - サーブレット メソッド内で throw されるすべての例外をキャッチする
CWE.601.TDNET - ネットワーク リソース インジェクションから防御する
CWE.601.TDRESP - HTTP レスポンス分割から防御する
CWE.601.UCO - Context Object を使って HTTP リクエスト パラメーターを管理する
CWE.601.VRD - すべてのリダイレクトおよびフォワード URL を検証メソッドでカプセル化する
CWE.605.HCNA - IP アドレスとポート番号をハード コーディングしてはいけない
CWE.607.IMM - static final フィールドを不変にする
CWE.607.RMO - 可変フィールドの間接参照を避ける
CWE.609.DCL - 安全ではない「ダブルチェック ロッキング」パターンの実装を避ける
CWE.611.DXXE - XML 外部エンティティ インジェクションを無効化する
CWE.611.XMLVAL - 信頼されていない XML を読み取る前にスキーマまたは DTD を使用して検証する
CWE.613.RUIM - セッション有効期限が適切であるようにする
CWE.613.STTL - 'web.xml' ファイルでセッションがタイム アウトするよう設定されていることを確認する
CWE.614.UOSC - getSecure() および setSecure() メソッドを使ってセキュアな Cookie の使用を推進する
CWE.617.ASSERT - 運用コード内でアサーションを使用しない
CWE.643.TDJXPATH - JXPath インジェクションから防御する
CWE.643.TDXPATH - XPath インジェクションから防御する
CWE.644.TDRESP - HTTP レスポンス分割から防御する
CWE.647.CDBV - 検証の前にすべてのデータを正規化する
CWE.652.TDXPATH - XPath インジェクションから防御する
CWE.652.XPIJ - XPath クエリーの評価での XPath インジェクションを防ぐ
CWE.662.DIFCS - 変数は単一のクリティカル セクションのコンテキストで使用するべきである
CWE.665.NOTEXPLINIT - 明示的に初期化する前の使用を避ける
CWE.665.NOTINITCTOR - コンストラクターおよび静的イニシャライザーで初期化する前にフィールドを使用しない
CWE.667.CLOSE - 無制限のロック リソース
CWE.667.LOCK - 解放されていないロックを放棄してはならない
CWE.674.FLRC - 無限の再帰呼び出しを行わない
CWE.676.SRD - java.util.Random または Math.random() の代わりに java.security.SecureRandom を使用する
CWE.680.BSA - [0, 31] の範囲を超える整数をシフト量として使用しない
CWE.681.CLP - 基本データ型を精度の低い型にキャストしない
CWE.681.IDCD - 整数の除算の結果を浮動小数点型の変数に代入してはいけない
CWE.690.EAR - void ではないメソッドの戻り値は、空の配列または null であってはいけない
CWE.691.ANL - if-else 文での負論理の使用を避ける
CWE.7.SEP - web.xml で必ずエラー ページを指定する
CWE.704.AGBPT - パラメーター化された型から RAW 型への変換を避ける
CWE.704.CPTS - 空文字列を連結して値を String に変換してはいけない
CWE.732.SCHTTP - cookie を HttpOnly としてマークする
CWE.755.CIET - Thread を拡張するクラス以外で InterruptedException をキャッチしない
CWE.759.MDSALT - ハッシュ関数は salt とともに使用する
CWE.764.DLOCK - 二重ロックを避ける
CWE.77.TDCMD -コマンド インジェクションから防御する
CWE.770.ISTART - Thread クラスのインスタンスに対して直接 'start()' メソッドを呼び出さない
CWE.771.LEAKS - リソースが割り当て解除されていることを確認する
CWE.772.CLOSE - 無制限のロック リソース
CWE.772.LEAKS - リソースが割り当て解除されていることを確認する
CWE.778.ENFL - すべてのセキュリティ関連メソッドの呼び出しを必ずログに記録する
CWE.78.TDCMD -コマンド インジェクションから防御する
CWE.787.ARRAY - 配列の境界を超えてアクセスしてはならない
CWE.787.ARRAYINP - 未検証の入力を配列インデックスとして使用しない
CWE.79.CDBV - 検証の前にすべてのデータを正規化する
CWE.79.EACM - 危険なメソッドの引数を検証メソッドでカプセル化する
CWE.79.TDRESP - HTTP レスポンス分割から防御する
CWE.79.TDXSS - XSS 脆弱性から防御する
CWE.79.VPPD - すべての危険なデータを検証する
CWE.798.HCCS - ハードコーディングされたユーザー名/パスワード/URL をデータベース接続メソッドに渡すことを避ける
CWE.798.PCCF - Castor の jdo-conf.xml でユーザー名およびパスワードをプレーン テキストに保存しない
CWE.798.PTPT - Axis の wsdd ファイルでプレーン テキストのパスワードを使用しない
CWE.798.PWDXML - パスワードがプレーンテキストとして格納されず、十分な長さがあることを確認する
CWE.798.UPWD - 暗号化されていない Hibernate ユーザ名およびパスワードを web.xml ファイルに保存しない
CWE.798.UTAX - Axis2 構成ファイルでプレーン テキストのパスワードを使用しない
CWE.798.WCPWD - WebSphere の ibm-webservicesclient-ext.xmi ファイルの設定でパスワードを暗号化する
CWE.798.WPWD - WebSphere の ibm-webservices-ext.xmi ファイルの設定でパスワードを暗号化する
CWE.8.RR - エンティティ Bean をリモートとして宣言しない
CWE.80.ARXML - ただのテキストではなくライブラリで XML および HTML を処理する
CWE.80.TDDIG - Jakarta Digester インジェクションから防御する
CWE.80.TDXML - XML データ インジェクションから防御する
CWE.806.BUSSB - 外部プロセスが出力またはエラー ストリームをブロックするのを防ぐ
CWE.807.HGRSI -'HttpServletRequest' クラスの 'getRequestedSessionId' メソッドの使用を避ける
CWE.807.PLC - 機密データを cookie にプレーンテキストで格納してはならない
CWE.807.UOSC - getSecure() および setSecure() メソッドを使ってセキュアな Cookie の使用を推進する
CWE.81.ARXML - ただのテキストではなくライブラリで XML および HTML を処理する
CWE.829.TDFILES - ファイルに対するインジェクションから防御する
CWE.829.TDFNAMES - ファイル名インジェクションから防御する
CWE.829.TDLIB - ライブラリ インジェクションから防御する
CWE.829.TDXPATH - XPath インジェクションから防御する
CWE.83.ARXML - ただのテキストではなくライブラリで XML および HTML を処理する
CWE.832.LORD - ネストされたロックの順序が正しいことを確認する
CWE.833.CSFS - デッドロック発生の原因となる synchronized メソッドからの synchronized メソッドの呼び出しを避ける
CWE.833.ORDER - 異なる順序でロックを獲得しない
CWE.833.RLF - finally ブロックでロックを解放する
CWE.833.STR - Object の this 参照で同期化を実行したりセマフォ メソッドを呼び出したりしてはいけない
CWE.833.TSHL - ロックを保持しているときにブロッキング メソッドを使用してはならない
CWE.833.UWNA - ポーリング ループではなく wait () および notifyAll () を使用する
CWE.835.AIL - 無限ループを避ける
CWE.835.PCIF - イニシャライザー、条件文、更新文のある for ループを宣言する
CWE.836.PLAIN - パスワード情報がプレーンテキストでプロパティ ファイルに含まれていてはならない
CWE.838.SEO - エンコーディング オプションの指定できないメソッドやコンストラクターの呼び出しを避ける
CWE.841.PERMIT - セキュリティ アノテーションのない EJB 3 メソッドを避ける
CWE.862.LCA - web.xml ファイルで適切な <login-config> 要素を指定して認証タイプを指定する
CWE.862.PERMIT - セキュリティ アノテーションのない EJB 3 メソッドを避ける
CWE.863.DSR - web.xml ファイルに複数のセキュリティ ロールを同じ名前で定義しない
CWE.863.SRCD - web.xml で参照されるすべてのセキュリティ ロールに対応する定義がなければならない
CWE.89.TDSQL - SQL インジェクションから防御する
CWE.89.UPS - createStatement ではなく prepareCall または prepareStatement を使用する
CWE.9.DPANY - ANYONE ロールに EJB のアクセス パーミッションを与えない
CWE.90.TDLDAP - LDAP インジェクションから防御する
CWE.91.TDXML - XML データ インジェクションから防御する
CWE.94.ASAPI - scripting API が信頼性のないコードを実行するのを防ぐ
CWE.94.DCEMSL - Seam Logging API を使用してメッセージをログに記録する場合、信頼されていない入力を使用しない
CWE.94.TDCODE - コードを生成するメソッドで使用する前に、汚染されている可能性があるデータを検証する
CWE.95.TDCODE - コードを生成するメソッドで使用する前に、汚染されている可能性があるデータを検証する
CWE.99.TDNET - ネットワーク リソース インジェクションから防御する
DBC.CPT - null を返すメソッドで事後条件 $result!=null を指定してはいけない
DBC.IGM - すべての getter メソッドには @invariant タグを使用する
DBC.IMNR - null 以外であることが保証されていない参照でメソッドを呼び出してはいけない
DBC.IPAN - null チェックを行う前に間接参照されているすべての引数に @pre != null タグを付ける
DBC.PKGC - すべての package-private クラスには @invariant タグを使用する
DBC.PKGMPOST - すべての package-private メソッドには @post タグを使用する
DBC.PKGMPRE - すべての package-private メソッドには @pre タグを使用する
DBC.PRIC - すべての private クラスには @invariant タグを使用する
DBC.PRIMPOST - すべての private メソッドには @post タグを使用する
DBC.PRIMPRE - すべての private メソッドには @pre タグを使用する
DBC.PROC - すべての protected クラスには @invariant タグを使用する
DBC.PROMPOST - すべての protected メソッドには @post タグを使用する
DBC.PROMPRE - すべての protected メソッドには @pre タグを使用する
DBC.PUBC - すべての public クラスには @invariant タグを使用する
DBC.PUBMPOST - すべての public メソッドには @post タグを使用する
DBC.PUBMPRE - すべての public メソッドには @pre タグを使用する
DBC.RCC - @pre および @post 条件の再チェックを避ける
DBC.SYNTAX - DbCでは適切なシンタックスを使用する
ECLIPSE.IPMF - MANIFEST.MF で internal パッケージをエクスポートしない
ECLIPSE.PCMF - Eclipse 3.0 の互換性のため MANIFEST.MF 内の Export-Package と Provide-Package の値を一致させる
ECLIPSE.SMF - MANIFEST.MF で Eclipse-AutoStart エントリの不足を避ける
EJB.EJB3.AIA - 無視されたまたは無効なアノテーションを避ける
EJB.EJB3.AISE - トランザクションを使用する場合は IllegalStateException を避ける
EJB.EJB3.BMN - ビジネス メソッドの名前を ejb で開始しない
EJB.EJB3.CMF - EJB Bean でアノテートされたメソッドのシグニチャが不適切
EJB.EJB3.CPIM - @AroundInvoke メソッドから InvocationContext.proceed() を呼び出す
EJB.EJB3.EAII - @AroundInvoke をビジネス インターフェイスのメソッドで公開しない
EJB.EJB3.IDA - 不適切な @Id アノテーションの使用を避ける
EJB.EJB3.IDCS - @IdClass を Serializable にし、equals() および hashCode() メソッドを定義する
EJB.EJB3.MDBS - @MessageDriven bean から他の @MessageDriven bean を拡張しない
EJB.EJB3.MDML - @MessageDriven bean で MessageListener を指定する
EJB.EJB3.MTM - 複数の @Timeout メソッドを宣言しない
EJB.EJB3.PCUN - 常に @PersistenceContext と共に unitName を指定する
EJB.EJB3.PERMIT - セキュリティ アノテーションのない EJB 3 メソッドを避ける
EJB.EJB3.RLI - 1 つのインターフェイスで @Local と @Remote の両方を指定しない
EJB.EJB3.RMSB - @Stateful bean で @Remove メソッドを指定する
EJB.EJB3.SIVS - @Stateful bean のインスタンス変数を Serializable にする
EJB.EJB3.SRBM - リモート ビジネス メソッドの引数と戻り値を Serializable にする
EJB.EJB3.ULI - ローカル インターフェイスを介して Bean にアクセスする
EJB.ABCS - EJB クラスでの Servlet コードの使用は避ける
EJB.ABFG - 細粒度なオブジェクトとして Entity Bean を使用するのは避ける
EJB.ACL - bean クラスでクラス ローダーのアクセス、使用、作成を行わない
EJB.ADCB - java swing やサーブレットクラスに EJB コードは含まない
EJB.AIEBC - Entity Bean 間の過剰なやり取りは避ける
EJB.AJDBC - EJB クラスの中での JDBC コードの使用は避ける
EJB.AMSC - セキュリティ構成オブジェクトにアクセスしたり、その内容を変更したりしない
EJB.AOTO - Session Bean と Entity Bean の 1 対 1 のマッピングは避ける
EJB.AUS - EJB でソケットを使用しない
EJB.CDP - Bean クラスは public で宣言する
EJB.CNDA - Bean クラスは abstract で宣言しない
EJB.CNDF - Bean クラスは final で宣言しない
EJB.CRTE - ejbCreate () を宣言するには、static や final ではなく、public を使用する
EJB.DPANY - ANYONE ロールに EJB のアクセス パーミッションを与えない
EJB.EJBLOAD - ejbLoad () 内で finder メソッドを呼び出してはいけない
EJB.FNDM - finder メソッドを宣言するには、final や static ではなく public を使用する
EJB.IECM - Bean クラスで 1 つ以上の ejbCreate () を実装する.
EJB.IEPM - EntityBean クラスでは 1 つ以上の ejbPostCreate () を実装する
EJB.JIO - bean クラスで java.io パッケージの型を使用しない
EJB.LNL - Bean クラスのネイティブ ライブラリをロードしない
EJB.MDBC - すべてのメッセージ駆動型 Bean クラスに対して、引数のない ejbCreate () メソッドを実装する
EJB.MEC - Entity Bean クラス中の各 ejbCreate () に対して、対応する ejbPostCreate () を定義する
EJB.MNDF - Bean クラスでは finalize () を宣言しない
EJB.MRE - リモート インターフェイスおよびリモート ホーム インターフェイス中のメソッドで java.rmi.RemoteException を throw する
EJB.NFDC - Bean クラスに引数を取らない public コンストラクターを宣言する
EJB.NFS - EJB Bean クラスのすべての static フィールドに対して final 宣言する
EJB.PCRTE - ejbPostCreate () を宣言するには、static や final ではなく、public を使用する
EJB.RILH - Bean のローカル インターフェイスおよびローカル ホーム インターフェイスで java.rmi.RemoteException を throw してはいけない
EJB.RR - エンティティ Bean をリモートとして宣言しない
EJB.RT - EJB finder メソッドの戻り値の型は、主キーまたは主キーの Collection でなければならない
EJB.RTC - SessionBeans またはメッセージ駆動型 Bean の ejbCreate () の戻り値の型は void でなければならない
EJB.RTP - ejbPostCreate () の戻り値の型は void でなければならない
EJB.RUH - EJB ホームを再利用する
EJB.SMSN - EJB で新しく SecurityManager を作成または設定しない
EJB.STD - EJB Bean が必要なメソッドを実装し、EJB Bean とインターフェイスの名前形式に従うことを推進
EJB.TCE - リモート ホーム インターフェイスまたはローカル ホーム インターフェイスの create 関連メソッドで javax.ejb.CreateException を throw する
EJB.TFE - リモート ホーム インターフェイスまたはローカル ホーム インターフェイスの finder メソッドで javax.ejb.FinderException を throw する
EJB.THISARG - this を引数として使用しない
EJB.THISRET - this を戻り値として使用しない
EJB.THREAD - bean クラスではどんな形でもスレッドを開始、終了、管理してはならない
EJB.UCIC - 再利用可能な JNDI リソースをキャッシュして、パフォーマンス コストが高い操作の使用を最小限に抑える
EJB.USF - Session Facade を使って Entity Bean へのアクセスを管理する
EJB.UVO - バリュー オブジェクトを使ってサーバーへの呼び出しの粒度を減らす
EXCEPT.AEFC - 例外をフロー制御文として使用しない
EXCEPT.AIOC - catch ブロックで instanceof を使用して例外の型をチェックしてはならない
EXCEPT.CATO - メソッドの本体で throw される可能性のあるすべての Throwable オブジェクトをキャッチする
EXCEPT.CDUPL - 同じ内容の catch 句を避ける
EXCEPT.CLFIN - リソースをクローズするためだけに finally ブロックを使用しない
EXCEPT.CTE - throw された例外を常に連結する
EXCEPT.EPNFC - final ではない public クラスのコンストラクターから例外を throw しない
EXCEPT.HCB - catch ブロックを隠してはいけない
EXCEPT.IMMEX - ユーザ定義 Exception のすべてのフィールドを final として宣言する
EXCEPT.MTE - main() メソッドには、throw される例外を宣言しない
EXCEPT.NCERR - java.lang.Error オブジェクトをキャッチしてはいけない
EXCEPT.NCNPE - NullPointerException をキャッチしてはいけない
EXCEPT.NFE - 数値クラスのメソッドは処理されない NumberFormatException を throw してはならない
EXCEPT.NTERR - 一般的な例外または非チェック例外を throw しない
EXCEPT.NTNPE - NullPointerException を throw してはいけない
EXCEPT.RTERR - キャッチしたときに特定の例外を再 throw する
EXCEPT.TEFEC - 例外クラスのコンストラクタから例外を throw しない
EXCEPT.TRY - try/catch/finally ブロックをループの外に置く
EXCEPT.TSCE - 例外メッセージは最少文字数の要件を満たす必要がある
FORMAT.APAREN - () を使って複雑な式を分割する
FORMAT.ASPACE - 配列の参照では適切なスペースを使用する
FORMAT.ATS - 行の最後に空のスペースを置いてはいけない
FORMAT.BLBC - C スタイルのコメントの前には空白行を挿入する
FORMAT.BLCD - 型宣言前の空白行の推進
FORMAT.BLSIM - 空白行を使って異なるパッケージの import 文を分離する
FORMAT.CBRACE - FORMAT.CBRACE1 コード行に \"}\" だけを記述するべきである
FORMAT.CMS - キャストの型の後には 1 つのスペースを入れる/入れない
FORMAT.DOT - 修飾名とメソッド呼び出しの間にスペースを入れてはいけない
FORMAT.DUT - タブではなくスペースを使用する (またはスペースではなくタブを使用する)
FORMAT.FCB - 開き括弧 \"{\" の位置の推進
FORMAT.FCN - ファイルと同じ名前の型をファイルの先頭にする
FORMAT.IAD - 配列宣言では、配列の型名、'[]'、変数名の順で記述する
FORMAT.IND - インデントのスペース数の推進
FORMAT.LL - FORMAT.LL1 行の文字数を制限する
FORMAT.MCH - すべてのソース ファイルに意味のあるファイル ヘッダー コメントを含める
FORMAT.MO - アノテーションと修飾子の順序を保つ
FORMAT.MSP - メソッド名と開き括弧 \"(\" の間には 1 つのスペースを入れる/入れない
FORMAT.NSAB - 開き括弧 \"{\" に続けてステートメントを入れる場合は \"{\" の後で必ず改行する
FORMAT.OSPL - 1 コード行につき 1 つのステートメントを入れる
FORMAT.SAC - カンマの後のスペース数の推進
FORMAT.SAOP - 代入演算子の前後のスペース数の推進
FORMAT.SAP - 条件文の開始括弧 \"(\" の後のスペースの数の推進
FORMAT.SAS - セミコロンの後のスペース数の推進
FORMAT.SAUOP - 前置単項演算子とそのオペランドの間のスペース数の推進
FORMAT.SBOP - ビット演算子の前後のスペース数の推進
FORMAT.SBUOP - 後置単項演算子とそのオペランドの間のスペース数の推進
FORMAT.SC - 条件文と開始括弧 \"(\" の間に、決められた数のスペースを入れる
FORMAT.SCOP - 条件演算子 \"?\" の前後のスペース数の推進
FORMAT.SLOP - 論理演算子の前後のスペース数の推進
FORMAT.SROP - 関係演算子の前後のスペース数の推進
FORMAT.TC - コード行と同じ行にコメントを置くのを避ける
FORMAT.TCOMMA - 配列イニシャライザーの最後にカンマを置く/置かない
FORMAT.TE - 一般的な書式を条件演算に使用する
FORMAT.TNL - すべてのファイルを必ず復帰改行文字で終了させる
FORMAT.U2BL - FORMAT.U2BL主要なプログラム セクション間の空白行数の推進
FORMAT.UP - 不要な括弧を避ける
GC.AUTP - プリミティブ型を String に変換するときに、不要なオブジェクトを作成しない
GC.DUD - Date[] ではなく long[] を使用する
GC.FCF - finalize () から必ず super.finalize () を呼び出す
GC.FM - finalize () を使ってリスナーを解放しない
GC.GC - System.gc() または Runtime.gc() を明示的に呼び出してはいけない
GC.GCB - getClipBounds () への呼び出しを再利用する
GC.IFF - finalize() メソッドの finally ブロックで super.finalize() を呼び出す
GC.MML - メモリ リークを引き起こす可能性のあるメソッドの呼び出しに注意する
GC.NCF - finalize () を明示的に呼び出さない
GC.OSTM - GC.OSTMreset () を呼び出すことによって、ObjectStream 内の潜在的なメモリ リークを回避する
GC.RCO - 不変定数オブジェクトを再利用してメモリを節約する
GC.STV - 際限なく大きくなる可能性のある static な Collection または Map を避ける
HIBERNATE.CAR - Configuration にマッピングを追加するには addResource() ではなく addClass() を使用する
HIBERNATE.CHS - Hibernate セッションを finally ブロックでクローズする
HIBERNATE.CSF - SessionFactory オブジェクトをすべてクローズする
HIBERNATE.GSIM - データベース カラムにマップされたオブジェクトには getter/setter メソッドと id フィールドを定義する
HIBERNATE.IDC - Hibernate パーシステント クラスのための引数なしコンストラクターを宣言する
HIBERNATE.LHII - Hibernate 関連の機密情報をlog4j.properties ファイルで info レベルに設定してログ記録しない
HIBERNATE.OHCE - マップされた Hibernate オブジェクトの equals および hashCode メソッドをオーバーライドする
HIBERNATE.PIDS - Hibernate 識別子のための setter メソッドは private で宣言する
HIBERNATE.RBT - アクティブなトランザクションを catch ブロックでロールバックする
HIBERNATE.SLM - Hibernate Query を実行する前に setLockMode() を呼び出す
HIBERNATE.UGNQ - Java コードでクエリーを記述するのではなく、マップされた名前付き HQL クエリーを使用する
HIBERNATE.UNP - HQL クエリーでは名前付きパラメーターを使用する
HIBERNATE.UPWD - 暗号化されていない Hibernate ユーザ名およびパスワードを web.xml ファイルに保存しない
INIT.AAI - 配列イニシャライザーを使用してはいけない
INIT.AULI - 遅延初期化のための if チェックでは適切な演算子を使用する
INIT.CLIB - 遅延初期化ブロックに初期化コード以外のコードを置かない
INIT.DIA - ダイアモンドを使用してジェネリック クラスのコンストラクターを呼び出す
INIT.IC - フィールドに対して初期化の循環を使用してはいけない
INIT.LV - 宣言文ですべてのローカル変数を明示的に初期化する
INIT.NFS - 初期化実行中に、final でない static フィールドを使用しない
INIT.SF - 明示的な初期化を使用する/static フィールドをデフォルト値で初期化してはいけない
INIT.SFA - final ではない static 変数を使って final の static 変数を初期化してはいけない
INIT.SICUI - すべての static final フィールドが代入される前に、現行クラスのインスタンスを作成する static イニシャライザーを呼び出してはいけない
INTER.CCL - java.util.Locale 任意パラメーターを使用する
INTER.CLO - 国際化 (I18N) では論理演算子と一緒に単一文字を使用しない
INTER.COS - 国際化 (I18N) では文字列連結を避ける
INTER.CTLC - 国際化環境で Character.toLowerCase(char) または Character.toUpperCase(char) を呼び出さない
INTER.DTS - 国際化環境では Date オブジェクトで toString() または String.valueOf() を呼び出さない
INTER.ITT - 国際化 (I18N) では翻訳可能なテキストはリソース バンドルに出力する
INTER.NCL - 国際化 (I18N) では単一文字リテラルは static final 定数として使用する
INTER.NTS - 国際化環境では数値で toString() または String.valueOf() を呼び出さない
INTER.PN - 国際化 (I18N) では Number 型の parse メソッド 呼び出しを避ける
INTER.SCT - 国際化 (I18N) では String.compareTo() の呼び出しを避ける
INTER.SDFL - SimpleDateFormat オブジェクトのインスタンスを生成するときは Locale 引数を指定する
INTER.SE - 国際化 (I18N) では String.equals() の呼び出しを避ける
INTER.SEO - エンコーディング オプションの指定できないメソッドやコンストラクターの呼び出しを避ける
INTER.SIO - 国際化 (I18N) では String.indexOf() または String.lastIndexOf() の呼び出しを避ける
INTER.ST - 国際化環境では StringTokenizer の使用を避ける
INTER.TTS - 国際化環境では Time オブジェクトで toString() または String.valueOf() を呼び出さない
INTER.UNLS - 不必要な $NON-NLS および NOI18N コメントを避ける
JAVADOC.BT - サポートされない @ タグやその他のタグを Javadoc コメントで使うのを避ける
JAVADOC.CRN - メソッドが null を返すことができるかどうかを必ず Javadoc に記述する
JAVADOC.DPMT - 未使用の Javadoc タグを避ける
JAVADOC.ECTF - フィールドでのカスタム Javadoc タグの使用を推進する
JAVADOC.ECTM - メソッド/アノテーション メンバー型でのカスタム Javadoc タグの使用を推進する
JAVADOC.ECTT - 型でのカスタム Javadoc タグの使用を推進する
JAVADOC.JNJD - Javadoc ではないコメントを Javadoc コメントと宣言の間に挿入してはいけない
JAVADOC.MAJDT - 宣言の Javadoc コメントには @author タグを使用する
JAVADOC.MDJT - Javadoc タグには意味のある説明を記述する
JAVADOC.MISFORMAT - Javadoc タグの書式の誤りを避ける
JAVADOC.MRDC - メソッドの Javadoc コメントには ''@return'' タグを入れる
JAVADOC.MVJDT - 型の Javadoc コメントには @version タグを入れる
JAVADOC.ORDER - Javadoc タグの順序の推進
JAVADOC.PARAM - メソッドの各引数の Javadoc コメントには @param タグを使用する
JAVADOC.PJDC - 型には Javadoc コメントを付ける
JAVADOC.PJDF - フィールドには Javadoc コメントを付ける
JAVADOC.PJDM - メソッドには Javadoc コメントと説明を付ける
JAVADOC.SINGLE - Javadoc コメントに使用する行数を制限する
JAVADOC.SMJT - synchronized public メソッドおよびブロックの Javadoc コメントには @concurrency タグを使用する
JAVADOC.SPELL - Javdoc コメント中にスペル ミスがある
JAVADOC.SRRP - @Documented アノテーションを使用するときに保持ポリシーとして RUNTIME を指定する
JAVADOC.THROW - メソッドの Javadoc コメントには @throws タグまたは @exception タグを入れる
JAVADOC.TSMJT - toString() には Javadoc コメントを付ける
JAVADOC.TSOL - 特定の Javadoc タグは1行に収める
JAVADOC.VMCR - void メソッドの Javadoc コメントでは @return タグを使用しない
JDBC.BRSA - JDBC メソッドの呼び出しで、インデックスが有効であることを確認する
JDBC.CDBC - JDBC 接続を finally ブロック中でクローズする
JDBC.COCO - 正しい順序で JDBC オブジェクトをクローズする
JDBC.DSLV - JDBC 接続のデータ ソースを再利用する
JDBC.ODBIL - ループ中で JDBC 接続をオープン/クローズしてはいけない
JDBC.RRWD - JDBC リソースは finally ブロックでクローズする
JDBC.SCSF - static フィールドにデータベース接続オブジェクトを格納してはならない
JDBC.UDS - javax.sql.DataSource を使ってデータベース接続を取得する
JDBC.UPSC - PreparedStatement を正しく使用する
JDBC.URSF - RowSetFactory のインスタンスを使用して RowSet オブジェクトを作成する
JUNIT.AEAT - assertTrue および assertFalse ではなく assertEquals および assertNotEquals を優先して使用する
JUNIT.AHLOD - 単体テストによって使用されるデータファイルのハードコーディングを避ける
JUNIT.ANAT - assertTrue および assertFalse ではなく assertNull および assertNotNull を優先して使用する
JUNIT.ANBA - assertTrue() または assertFalse() への論理型引数を否定しないようにする
JUNIT.ASAT - assertTrue および assertFalse ではなく assertSame および assertNotSame を優先して使用する
JUNIT.ASSERT - JUnit アサーションには必ずメッセージ文字列を含める
JUNIT.AST - メイン スレッド以外のスレッドにアサーション文を置かない
JUNIT.AUL - JUnit テストでループを使用しない
JUNIT.CBA - catch ブロックで assert メソッドを呼び出すのを避ける
JUNIT.CSUPER - JUnit テスト クラスの setUp メソッドおよび tear-tearDown メソッドでは、それぞれスーパークラスの setUp/tearDown メソッドを呼び出すべきである
JUNIT.CSUTD - setUp() および tearDown() メソッドが正しく実装されるようにする
JUNIT.DIR - テストするクラスと同じ場所にテスト クラスを置く
JUNIT.ETCTA - @Test アノテーションがあるテスト クラスで TestCase を拡張しない
JUNIT.FAIL - assertTrue(false) や assertFalse(true) メソッドを使用して false を検証する変わりに fail () メソッドを使用する
JUNIT.FICB - JUnit テストメソッド内の catch ブロック内で fail() を呼び出してはいけない
JUNIT.IGNORE - @Ignore を使用する JUnit 5 テスト クラスに @ExtendWith(IgnoreCondition.class) または @EnableJUnit4MigrationSupport アノテーションがあることを確認する
JUNIT.ISMTC - JUnit テスト クラスで suite() メソッドを実装してはいけない
JUNIT.MAIN - すべての JUnit クラスは個別に実行可能な main () メソッドを持つべきである
JUNIT.OSIC - コンストラクターを使ってテスト ケースを設定しない
JUNIT.OSUM - テスト クラスにセットアップ メソッドが定義されていることを確認する
JUNIT.OTDM - テスト クラスにクリーンアップ メソッドが定義されていることを確認する
JUNIT.RPL5 - JUnit 5 にテストを移行する場合は、JUnit 4 のアノテーションを使用しない
JUNIT.SIA - JUnit テスト ケースには必ず アサートメソッドを含める
JUNIT.SIFN - setUp() メソッドで初期化されているすべてのフィールドは tearDown() メソッドで null をセットする
JUNIT.SUITE - suite () メソッドは public および static にするべきである
JUNIT.TATC - TestCase を拡張するのではなく @Test アノテーションを使用する
JUNIT.TCWNT - 各 TestCase クラスには少なくとも 1 つのテスト メソッドを含める
JUNIT.TDIR - JUnit 5 テストで TemporaryFolder ルールを使用しない
JUNIT.TEST - すべてのメソッドは少なくとも 1 つの JUnit テストメソッドを持つべきである
JUNIT.UPJT - 適切な Javadoc タグを JUnit テスト メソッドの Javadoc に含める
JUNIT.UPSS - JUnit テストクラスの suite() メソッドは正しいシグネチャで使用する
METRICS.CTNL - 非推奨: class または interface の行数
METRICS.ECLM - 非推奨: メソッドのステートメント行数
METRICS.ECLT - 非推奨: class または interface のステートメント行数
METRICS.ID - 非推奨: class または interface の継承レベル
METRICS.NOFT - 非推奨: フィールド数
METRICS.NOM - 非推奨: メソッド数
METRICS.NOMCML - 非推奨: メソッドのコメント行数
METRICS.NOTCML - 非推奨: class または interface のコメント行数
METRICS.NPKGF - 非推奨: package-private フィールド数
METRICS.NPKGM - 非推奨: package-private メソッド数
METRICS.NPRIF - 非推奨: private フィールド数
METRICS.NPRIM - 非推奨: private メソッド数
METRICS.NPROF - 非推奨: protected フィールド数
METRICS.NPROM - 非推奨: protected メソッド数
METRICS.NPUBF - 非推奨: public フィールド数
METRICS.NPUBM - 非推奨: public メソッド数
METRICS.NSTMT - 非推奨: メソッドのステートメント数
METRICS.PAR - 非推奨: パラメーター数
METRICS.PJDC - 非推奨: Javadoc コメントの割合 (%)
METRICS.TNLM - 非推奨: メソッドの行数
METRICS.TNMC - 非推奨: メソッド呼び出しの数
METRICS.TRET - 非推奨: return 文の数
METRICS.VG - 非推奨: Cyclomatic Complexity
MOBILE.ANDROID.AOSM - 常に onSaveInstanceState() をオーバーライドする
MOBILE.ANDROID.WUP - ウィジェットがあまりに頻繁に更新されないようにする
MOBILE.J2ME.ACII - インターフェイスの実装として匿名クラスを使用しない
MOBILE.J2ME.ARLL - ループ条件式で配列長を使用しない
MOBILE.J2ME.CIPA - あるサイズを超えるプリミティブ型配列を定数で初期化しない
MOBILE.J2ME.EAOF - フィールドに過剰にアクセスしてはいけない
MOBILE.J2ME.EURP - 新規オブジェクトを返す代わりにリターン引数を使用するメソッドを推奨
MOBILE.J2ME.OOME - 大きな配列割り当ての OutOfMemoryError をキャッチする
MOBILE.ACFM - 同じフィールドおよびメソッドに複数回アクセスしてはならない
MOBILE.AMA - getter および setter メソッドを使用しない
MOBILE.APTA - プリミティブ ラッパー オブジェクトの配列を使用しない
MOBILE.AUEF - 拡張された for ループを使用して java.lang.iterable オブジェクトを反復処理しない
MOBILE.AUI - interface 型を宣言しない
MOBILE.DARRAY - 多次元配列を使用しない
MOBILE.ENUM - 列挙型を使用しない
MOBILE.FLOATER - 浮動小数点型を使用しない
NAMING.ANNS - アノテーションのクラスの命名規則に従う
NAMING.CVN - 一般的な変数名を使用
NAMING.DJLO - java プラットフォームの型がと同じ名前を使って型を宣言してはいけない
NAMING.DSN - 名前でドル記号を使用するのを避ける
NAMING.ECN - 拡張しているクラスの名前を反映したクラス名を使用する
NAMING.EXTENDS - 基底クラスに対して定義された命名規則に従う
NAMING.GETA - getter メソッドに命名規則を使用する
NAMING.GETB - boolean を返す getter メソッドに命名規則を使用する
NAMING.ID - 潜在的な Java キーワードを識別子として使用してはならない
NAMING.IFV - インターフェイスのフィールド名ではすべての文字に大文字を使用する
NAMING.IMPLS - 実装されたインターフェイスに対して定義された名前付け規則に従う
NAMING.IRB - boolean を返すメソッドだけに is で始まる名前を付ける
NAMING.LLI - 型名、メソッド名、フィールド名、引数名および変数名の長さの制限に従う
NAMING.NA - アノテーションに命名規則を使用する
NAMING.NAC - 配列変数と Collection 変数に命名規則を使用する
NAMING.NACL - abstract クラスに対して命名規則を使用する
NAMING.NCL - クラスの命名規則を推進
NAMING.NE - 例外の命名規則を推進
NAMING.NENUM - 列挙型の宣言に命名規則を使用する
NAMING.NFL - final のローカル変数に対して命名規則を使用する
NAMING.NIF - static ではないフィールドの命名規則を推進
NAMING.NITF - インターフェイスの命名規則を推進
NAMING.NLV - ローカル変数の命名規則を推進
NAMING.NM - static でないメソッド の命名規則を推進
NAMING.NMP - メソッド引数の命名規則を推進
NAMING.NPH - 型引数に名前付け規則を使用する
NAMING.NSF - final ではない static フィールドの命名規則を推進
NAMING.NSM - static メソッドの命名規則を推進
NAMING.NTEST - JUnit テストクラスに命名規則を使用する
NAMING.PKG - package 名には小文字を使用する
NAMING.RPKG - Sun で予約されているパッケージ名を使用しない
NAMING.SETA - setter メソッドに命名規則を使用する
NAMING.SINGLETON - シングルトン クラスに命名規則を使用する
NAMING.THAC - タグ ハンドラーおよび関連クラスに命名規則を使用する
NAMING.UHN - 変数にはハンガリアン表記を使用する
NAMING.USF - final static フィールド名には小文字を使用しない
NAMING.UUVN - 同じ名前または大文字/小文字の使用だけが違う変数名使用してはいけない
OOP.ACECC - abstract クラスで具象クラスを継承してはいけない
OOP.ACST - 必要以上に具体的な型にキャストしてはいけない
OOP.AF - public/ protected/ package-private フィールドを避ける
OOP.AHF - 継承されるフィールドが隠れるのを避ける
OOP.AHSM - 継承される static なメンバー メソッドが隠れるのを避ける
OOP.AOA - オーバーライド メソッドには @Override アノテーションを追加する
OOP.AOCM - 特定の型を拡張する場合、特定のメソッドを必ずオーバーライドする
OOP.ASFI - abstract メソッドおよび static final フィールドだけしかないクラスを interface として再宣言する
OOP.AUASI - アノテーションを実装または拡張してはいけない
OOP.AUO - オブジェクトを使用して static フィールドまたはメソッドにアクセスしない
OOP.CIMOM - Object の protected メソッドと競合するメソッドをインターフェイスで宣言してはいけない
OOP.CQS - メソッドはコマンド (状態の変更) またはクエリー (状態の取得) でなければならない
OOP.HIF - 外側のスコープで宣言されたフィールドやローカル変数を隠蔽しない
OOP.HMF - メソッドのローカル変数と引数にクラスのフィールドと同じ名前を付けない
OOP.ICIF - インターフェイスで内部クラスを使用しない
OOP.IDOM - インターフェイス内で Object クラスから継承するメソッドの宣言を避ける
OOP.IIAC - 定数にアクセスするためにだけインターフェイスを実装してはならない
OOP.IIN - no-op のインターフェイスメソッドを実装しない、またはそれらを abstract で実装する
OOP.INSOF - instanceof はインターフェイスにだけ使用する
OOP.LEVEL - ネストの深さが 3 以上の内部クラスを使用しない
OOP.MFP - finalize() メソッドは protected で宣言する
OOP.MI - フィールドまたはメソッドのないインターフェイス (マーカー インターフェイス) を避ける
OOP.MUCOP - 可変クラスにコピー機能を提供する
OOP.NAM - abstract メソッドのない abstract クラスを避ける
OOP.NOMA - abstract クラスの空のメソッドを abstract として宣言する
OOP.NPAC - abstract クラスに public または package-private コンストラクターを宣言しない
OOP.OPM - private メソッドをオーバーライドしない
OOP.PIFC - final クラスのメンバーに protected を使用してはいけない
OOP.PMPC - public クラスが少なくとも 1 つの public または protected メンバーを持つようにする
OOP.PSDF - private または static メソッドを final で宣言しない
OOP.RI - スーパークラスがインターフェイスをすでに実装している場合、そのインターフェイスを実装するとしてクラスを宣言してはいけない
OOP.RSFC - クラスから自身のサブクラスへの参照を避ける
OOP.SNGL - シングルトン クラスに命名規則を使用する
OOP.SVHM - インナー クラスからのメソッド呼び出しでは、呼び出すメソッドのバージョンを指定する
OOP.THRECL - getClassLoader() ではなく getContextClassLoader() を使用する
OPT.AAM - 匿名クラスの private でないメソッドを private に変更する
OPT.AAS - 省略された代入演算子を使用
OPT.ACDO - new String(String) コンストラクターを使用しない
OPT.AGC - オブジェクトのインスタンスの新規生成によって Class オブジェクトを取得してはいけない
OPT.ANIPW - キャッシュされているプリミティブ型のラッパー オブジェクトを新しくインスタンスすることを避ける
OPT.AUMO - 不要な Map 操作を避ける
OPT.BR - boolean の返却を簡略化する
OPT.CCR - すべての java.io.Closeable リソースを finally ブロックでクローズする
OPT.CEIL - ループ内に定数式を入れないようにする
OPT.CEL - ループ条件文でのメソッド呼び出しを避ける
OPT.CIO - finally ブロックで入力または出力リソースをクローズする
OPT.CLL - 潜在的に時間のかかるロギング処理を呼び出す前にロギングレベルをチェックする
OPT.CPTS - 空文字列を連結して値を String に変換してはいけない
OPT.CRSG - ResultSet の get メソッドを重複して呼び出さない
OPT.CRWD - できるだけ早くリソースをクローズする
OPT.CTLV - 1 つのメソッド内でだけアクセスされる private フィールドを使用しない。ローカル変数に変更する
OPT.DIC - ArrayList、HashMap、HashSet、Hashtable、Vector、および WeakHashMap の初期容量を定義する
OPT.EES - String.equals(\"\") ではなく String.length() == 0 を使用する
OPT.EIC - toLowerCase() または toUpperCase() の呼び出しの代わりに equalsIgnoreCase() を使用する
OPT.EOIL - 時間がかかる処理をループの本体で呼び出してはいけない
OPT.ICDPC - 浮動小数点型にキャストされた整数を Math.ceil() の呼び出しに渡してはいけない
OPT.ICGA - 代用のアクセサーを必要とするかもしれないメンバー アクセスを避ける
OPT.ILUG - get() メソッドを使用してリストを反復処理しない
OPT.IRB - 配列のコピーには、ループではなく System.arraycopy () を使用する
OPT.ISC - static フィールドと static メソッドだけを持つクラスのインスタンスを生成してはいけない
OPT.LIOL - 可能な限り不変式をループの外に移動する
OPT.LOOP - ループ本体で変数をインスタンス化するのを避ける
OPT.MAF - インスタンス フィールドに対する getter および setter メソッドを final で宣言する
OPT.MUNC - null との不要な比較を行わない
OPT.NCIO - instanceof の前に null をチェックしないようにする
OPT.NIVND - ランダム整数を生成するには nextInt() メソッドを使用する
OPT.NIW - BigInteger および BigDecimal の新しいインスタンスを作成しないようにする
OPT.NSF - コンパイル時に判明する値を持つ final フィールドは static として宣言する
OPT.PCTS - 単一文字の比較には、startsWith () ではなく charAt () を使用する
OPT.PRIM - プリミティブ型のためのラッパークラスをインスタンス化してはいけない
OPT.SB - StringBuffer の初期容量を指定する
OPT.SBL - 長さをチェックするために StringBuffer または StringBuilder を String に変換しないようにする
OPT.SBS - 同期が必要ない場合は StringBuffer ではなく StringBuilder を使用する
OPT.SDLS - ローカル変数には同期データ構造を使用しない
OPT.SI - 可能であれば内部クラスを static として宣言する
OPT.SRA - リテラル値で String.replaceAll() を使用しない
OPT.STCA - 不要な String.toCharArray() の呼び出しを避ける
OPT.STR - 1 文字の文字列定数を含む文字列連結では、二重引用符ではなく単一引用符を使用する
OPT.STRBUF - 常に連結される文字列を返すメソッドを整理する
OPT.STS - 不要な String メソッドの呼び出しを避ける
OPT.SWIF - switch 文に置き換えられる場合、if 文を使用しない
OPT.SYN - ループの内側で synchronized メソッドを呼び出さない
OPT.TOARRAY - toArray() に渡す配列に Collection のサイズを使用する
OPT.UEQ - ブール値と true を比較しない
OPT.UISO - 不要な instanceof の使用を避ける
OPT.UMATH - 結果が簡単に計算できる定数の場合、java.lang.Math のメソッドを呼び出してはいけない
OPT.UNC - 不要なキャストの使用を避ける
OPT.USB - 結合文字列を使用するときは String ではなく StringBuffer を使用する
OPT.USC - 定数文字列には StringBuffer ではなく String を使用する
OPT.USCL - 疑問の余地がある、短絡演算ではない演算を避ける
OPT.USV - 可能なかぎりスタック変数を使用する
OWASP2017.A1.TDCMD -コマンド インジェクションから防御する
OWASP2017.A1.TDDIG - Jakarta Digester インジェクションから防御する
OWASP2017.A1.TDENV - 環境に対するインジェクションから防御する
OWASP2017.A1.TDINPUT - フォーマット文字列からサニタイズされていないユーザー入力を除外する
OWASP2017.A1.TDJXPATH - JXPath インジェクションから防御する
OWASP2017.A1.TDLDAP - LDAP インジェクションから防御する
OWASP2017.A1.TDLOG - ログの偽造から防御する
OWASP2017.A1.TDNET - ネットワーク リソース インジェクションから防御する
OWASP2017.A1.TDRFL - Reflection インジェクションから防御する
OWASP2017.A1.TDSQL - SQL インジェクションから防御する
OWASP2017.A1.TDXPATH - XPath インジェクションから防御する
OWASP2017.A1.UPS - createStatement ではなく prepareCall または prepareStatement を使用する
OWASP2017.A10.ENFL - すべてのセキュリティ関連メソッドの呼び出しを必ずログに記録する
OWASP2017.A10.LGE - すべての例外が標準のロガーでログに記録されるか、再 throw されるようにする
OWASP2017.A2.HGRSI -'HttpServletRequest' クラスの 'getRequestedSessionId' メソッドの使用を避ける
OWASP2017.A2.ISL - LoginContext.login() の前に必ず HttpSession.invalidate() を呼び出すこと
OWASP2017.A2.RUIM - セッション有効期限が適切であるようにする
OWASP2017.A2.STTL - 'web.xml' ファイルでセッションがタイム アウトするよう設定されていることを確認する
OWASP2017.A2.TDPASSWD - 保護されていない認証情報の使用から保護する
OWASP2017.A3.AISSAJAVA - Spring でのデータ暗号化で、セキュアではない暗号化アルゴリズムを使用しない
OWASP2017.A3.AISSAXML - Spring XML 設定ファイルで、セキュアではない暗号化アルゴリズムを使用しない
OWASP2017.A3.AUNC - 非テスト クラスでの javax.crypto.NullCipher クラスの使用を避ける
OWASP2017.A3.CONSEN - 機密情報をログに記録しない
OWASP2017.A3.ENPP - 特定のメソッドに渡される引数が事前に定義されたメソッドのリストからきていることを確認する
OWASP2017.A3.HCCK - ハード コーディングされた暗号化キーの使用を避ける
OWASP2017.A3.HCNA - IP アドレスとポート番号をハード コーディングしてはいけない
OWASP2017.A3.HTTPS - axis2.xml 構成ファイルの transportReceiver および transportSender で http ではなく https を使用する
OWASP2017.A3.HV - HostnameVerifier.verify() メソッドが証明書を検証していることを確認する
OWASP2017.A3.ICA - 安全でないアルゴリズムを暗号化のために使用しない
OWASP2017.A3.IVR - IvParameterSpec を使用する際はランダムではない byte[] を避ける
OWASP2017.A3.MCMDU - MessageDigest オブジェクトは 'update' メソッドでデータを処理する必要がある
OWASP2017.A3.MDSALT - ハッシュ関数は salt とともに使用する
OWASP2017.A3.PEO - 機密情報のリークを防ぐため、例外メッセージを出力に渡してはならない
OWASP2017.A3.PWDPROP - パスワードがプレーンテキストとして格納されず、十分な長さがあることを確認する
OWASP2017.A3.SENS - 機密データの公開を防止する
OWASP2017.A3.SIKG - KeyGenerator インスタンスを初期化する
OWASP2017.A3.SRD - java.util.Random または Math.random() の代わりに java.security.SecureRandom を使用する
OWASP2017.A3.SSSD - 機密データを安全にシリアライズする
OWASP2017.A3.USC - 可能であれば SSL を利用できるクラスを使用する
OWASP2017.A3.VJFS - 必ず JarFile シグニチャを検証する
OWASP2017.A3.VSI - サーバー識別子を適切に検証する
OWASP2017.A4.DXXE - XML 外部エンティティ インジェクションを無効化する
OWASP2017.A5.DPANY - ANYONE ロールに EJB のアクセス パーミッションを与えない
OWASP2017.A5.TDFNAMES - ファイル名インジェクションから防御する
OWASP2017.A6.ACPST - Throwable オブジェクトの printStackTrace() メソッドを呼び出さない
OWASP2017.A6.AECB - 空の try、catch、finally ブロックを避ける
OWASP2017.A6.DCSRFJAVA - CSRF 防護を無効にしない
OWASP2017.A6.DCSRFXML - CSRF 防護を無効にしない
OWASP2017.A6.EWSSEC - Spring Security フレームワークからのデバッグ情報をログに記録しない
OWASP2017.A6.NCE - 一般的な型の例外や非チェック例外をキャッチしてはいけない
OWASP2017.A6.NCNPE - NullPointerException をキャッチしてはいけない
OWASP2017.A6.NTERR - 一般的な例外または非チェック例外を throw しない
OWASP2017.A6.NTX - CODSTA.BP.NTX一般的または非チェック例外型を throw するメソッドの宣言を避ける
OWASP2017.A6.PLAIN - パスワード情報がプレーンテキストでプロパティ ファイルに含まれていてはならない
OWASP2017.A6.PWDXML - パスワードがプレーンテキストとして格納されず、十分な長さがあることを確認する
OWASP2017.A6.RR - エンティティ Bean をリモートとして宣言しない
OWASP2017.A6.SEP - web.xml で必ずエラー ページを指定する
OWASP2017.A6.SIO - System.err または System.out の print メソッドの呼び出しを避ける
OWASP2017.A6.SLID - セッション ID の長さが適切であることを確認する
OWASP2017.A6.UPWD - 暗号化されていない Hibernate ユーザ名およびパスワードを web.xml ファイルに保存しない
OWASP2017.A7.CDBV - 検証の前にすべてのデータを正規化する
OWASP2017.A7.TDRESP - HTTP レスポンス分割から防御する
OWASP2017.A7.TDXSS - XSS 脆弱性から防御する
OWASP2017.A8.AUXD - XMLDecoder で信頼されていないデータを解析しない
OWASP2017.A8.DUID - すべての Serializable クラスに対して serialVersionUID を作成する
OWASP2017.A8.OROM - すべての serializable クラスに対して readObject() と writeObject() を実装する
OWASP2017.A8.RRSC - すべての Serializable 型のインスタンスで readResolve メソッドを定義する
OWASP2017.A8.RWAF - すべてのフィールドを readObject() メソッドによって代入し writeObject() によって書き出す
OWASP2017.A8.SC - LDAP のデシリアライズを無効化する
OWASP2017.A8.SCBNP - Serializable でない親クラスから派生する Serializable なサブクラスに必ず writeObject および readObject メソッドを宣言する
OWASP2017.A8.SROS - readObject() メソッドを synchronized として宣言してはいけない
OWASP2017.A8.VOBD - デシリアライズの前にオブジェクトを検証する
PB.API.AECC - 特定のクラスの継承を避ける (カスタムルール)
PB.API.APPG - java.util.Properties オブジェクトの put()、putAll()、および get() メソッドの使用を避ける
PB.API.APT - 特定のパッケージまたは型を使用するのを避ける
PB.API.CMMT - Collection および Map メソッドに渡される型とデータ構造の型を一致させる
PB.API.DANNOT - 非推奨のメンバーの宣言に @Deprecated アノテーションを追加する
PB.API.DNCSS - ComponentListener.componentResized () で setSize () を呼び出さない
PB.API.DPRAPI - 非推奨の API を使用しない
PB.API.ECMC - Collection および Map クラスを拡張してはいけない
PB.API.EHM - java.util.HashMap または java.util.Hashtable を継承してはいけない
PB.API.EJF - 空の JarFile エントリまたは空の ZipFile エントリを作成してはいけない
PB.API.EQNL - equals(null) を呼び出さないようにする
PB.API.HNCN - Iterator の hasNext() メソッドから next() メソッドを呼び出してはいけない
PB.API.IUMS - Collections または Maps で URL オブジェクトを使用しない
PB.API.KOEH - Set や Map のキーとして使用されるすべての型が equals() と hashCode() メソッドをオーバーライドする
PB.API.MASP - serializable クラスの readResolve() と writeReplace() メソッドには、protected アクセシビリティを指定する
PB.API.MOHK - 危険な実装の equals() または hashCode() のオブジェクトをハッシュ化されたデータ構造のキーとして使用することを避ける
PB.API.NDC - Error および Throwable のサブクラスを定義しない
PB.API.OF - finalize() メソッドをオーバーロードしてはいけない
PB.API.REP - String.replaceAll() および String.replaceFirst() の正規表現として \".\" を使用しない
PB.API.SBCC - StringBuffer(int) コンストラクターに char を渡さない
PB.API.UNI - java.util.Random クラスの next メソッドの結果を int にキャストしてはいけない
PB.API.URL - java.net.URL の equals() および hashCode() メソッドを使用しない
PB.API.VAFS - 正しい数の引数を使用して書式文字列を持つ可変個引数のメソッドを呼び出す
PB.API.VENDOR - ベンダー プロパティとの比較に使われる可能性がある値を更新する
PB.CUB.ADE - else のある if では \"{ }\" 括弧を使用する
PB.CUB.AIPQ - PriorityQueue および PriorityBlockingQueue で iterator() を使用しない
PB.CUB.AMCO - 複数の ! または ~ 単項演算子を使用しない
PB.CUB.APAM - 配列ではない引数を取るメソッドに配列を引数として渡してはならない
PB.CUB.ARCF - try-catch ブロック内に return 文がある場合、 finally ブロックでの return 文の使用を避ける
PB.CUB.ATSF - finally ブロックを途中で終了しない
PB.CUB.AWP - コンストラクター引数への混乱する代入を避ける
PB.CUB.CILB - ログ記録コード以外のものをログ記録ブロックに入れない
PB.CUB.CNVC - 文字と数字の不適切な連結を避ける
PB.CUB.CTOR - コンストラクターから final、static、private ではないメソッドを呼び出してはならない
PB.CUB.CWRITE - File.canWrite() メソッドは、ディレクトリが書き込み可能でない場合にも true を返す可能性があるため、使用を避ける
PB.CUB.DCP - \"+\" 文字列連結演算子を使って数字を連結してはいけない。\"+\" は数字の加算にだけ使用する
PB.CUB.EBI - 誤って文をブロックの外に置くのを避ける
PB.CUB.EOOM - 誤って java.lang.Object のメソッドをオーバーライドすることを避ける
PB.CUB.FLVA - for ループの内部でループ制御変数に代入しない
PB.CUB.IMC - オーバーライドされるメソッドが引数型の違いによる予定外の共変ではないようにする
PB.CUB.IMM - static final フィールドを不変にする
PB.CUB.ISF - 誤って static 宣言された可能性のある private static フィールドを調べる
PB.CUB.MAIN - エントリ ポイント メソッドだけにメソッド名 main を使用する
PB.CUB.OE - 疑わしい 8 進数エスケープを避ける
PB.CUB.OSM - サブクラスのメソッドをオーバーライドする場合は、スーパークラスでオーバーロードされたメソッドもオーバーライドする
PB.CUB.OVAM - 可変個引数メソッドのオーバーライドを避ける
PB.CUB.PSFA - public static final 配列フィールドの使用を避ける
PB.CUB.RMO - 可変フィールドの間接参照を避ける
PB.CUB.SAC - String の連結で char 配列を使用してはいけない
PB.CUB.SBC - 不正な case を含む switch 文を避ける
PB.CUB.SRAD - アノテーション型の宣言に @Retention を指定する
PB.CUB.STRCC - print() 文および println() 文の複雑な式を括弧で囲む
PB.CUB.TOCTOU - Time-of-check Time-of-use (TOCTOU) 競合状況を避ける
PB.CUB.TOS - 配列変数で toString() を呼び出さない
PB.CUB.TVOM - オーバーロードされたメソッドを呼び出す場合、型変数引数を使用しない
PB.CUB.UEIC - オブジェクト同士の比較に '==' または '!=' を使用しない
PB.LOGIC.AIL - 無限ループを避ける
PB.LOGIC.AMOI - 配列または List 要素へアクセスするのに誤ったインデックス変数を使用しない
PB.LOGIC.AOBO - ループ条件で「1 つずれる」エラーを避ける
PB.LOGIC.AULV - ループの条件で使用されないループ変数を避ける
PB.LOGIC.CPI - String.indexOf() の結果が正かどうかをチェックしてはいけない
PB.LOGIC.CRRV - 読み込みまたはスキップを行うメソッドの戻り値を確認する
PB.LOGIC.DJNCR - 戻り値が null ではないことをチェックした後に readLine() の結果を破棄してはいけない
PB.LOGIC.EQLC - equals() および compareTo() メソッドの実装では getClass() または instanceof を使用する
PB.LOGIC.EQUS - 常に false を返す equals() メソッドの呼び出しを避ける
PB.LOGIC.ESO - 同一のオブジェクトに対して equals() を呼び出さない
PB.LOGIC.FLRC - 無限の再帰呼び出しを行わない
PB.LOGIC.INDEX - ループ変数の使用でのバグを防止する
PB.LOGIC.JI - 複数のネストされた for ループ文で同じ変数をインクリメントまたはデクリメントしない
PB.LOGIC.LLM - 呼び出すロギング メソッドのレベルに一致したロギング レベルをチェックする
PB.LOGIC.OAMC - ループの条件で使用されるオブジェクトは適切にループ本体でアクセスされるようにする
PB.LOGIC.OOR - 範囲外の比較を避ける
PB.LOGIC.ROM - メソッドが正しいオブジェクトで呼び出されるようにする
PB.LOGIC.SG - get/set メソッドが必ず正しい変数にアクセスするようにする
PB.NUM.AIC - 整数型から浮動小数点型への暗黙のキャストを避ける
PB.NUM.BBDCC - BigDecimal コンストラクターに浮動小数点値を渡してはいけない
PB.NUM.BSA - [0, 31] の範囲を超える整数をシフト量として使用しない
PB.NUM.CACO - オーバーフローの原因となるかもしれない場合は複合代入演算子の使用を避ける
PB.NUM.CLP - 基本データ型を精度の低い型にキャストしない
PB.NUM.CMP - compare または compareTo メソッドに整数オーバーフローの可能性がある
PB.NUM.DCF - 浮動小数点同士を比較しない
PB.NUM.FPLI - ループのインデックスとして浮動小数点型の変数を使用しない
PB.NUM.ICO - オーバーフローまたは NaN になる計算を避ける
PB.NUM.IDCD - 整数の除算の結果を浮動小数点型の変数に代入してはいけない
PB.NUM.IMOF - integer の乗算の結果を long にキャストしてはならない
PB.NUM.IOF - オーバーフローの可能性がある場合、除算ではなく符号なしの右シフトを使用する
PB.NUM.NAN - Double.NaN または Float.NaN と比較しないようにする
PB.NUM.NIA - 負の値を使って配列の次元を初期化してはいけない
PB.NUM.UBD - 正確な結果が必要な場合は float および double を使用しない
PB.NUM.UCM - Math.round() に整数値を渡してはならない
PB.RE.ACTI - Collection をその Collection 自体に追加してはいけない
PB.RE.AMFSL - 固定サイズの Collection を変更しない
PB.RE.AQA - Queue の add() メソッドを呼び出さない
PB.RE.ASE - ArrayStoreExceptions の可能性を避ける
PB.RE.CAI - 配列にアクセスする前に、使用するパラメーターをチェックする
PB.RE.CIOR - String.indexOf() の戻り値を他の String メソッドに渡す前にチェックする
PB.RE.CTNSE - Iterator.next() メソッドの実装が必ず NoSuchElementException を throw するようにする
PB.RE.IDRL - readLine() の戻り値を間接参照する前に、戻り値が null かどうかをチェックする
PB.RE.IIAE - IllegalArgumentException メッセージをコード ロジックに必ず一致させる
PB.RE.IOSS - 必要な場合 indexOf() の fromIndex 引数を使用する
PB.RE.ISEM - String.equals(constant) または String.equalsIgnoreCase(constant) を呼び出してはいけない
PB.RE.JLAY - JLayer クラスの add() メソッドの使用を避ける
PB.RE.NCMD - 間接参照される変数と、その前に null チェックされる変数を一致させる
PB.RE.NXRE - RuntimeException のサブクラスをできるだけ定義しない
PB.RE.PNPD - null オブジェクトを間接参照してはいけない
PB.RE.RCODE - HttpURLConnection を使用する場合、getInputStream() を呼び出す前に必ず getResponseCode() の戻り値をチェックする
PB.RE.VRNULL - null 値を返すメソッドを避ける
PB.TYPO.AECB - 空の try、catch、finally ブロックを避ける
PB.TYPO.ASI - 条件の中で代入しない
PB.TYPO.BW - 同じ変数同士で演算しない
PB.TYPO.CSI - 正しい super メソッドを呼び出す
PB.TYPO.DAV - switch 文の case のフォールスルーで同じ変数に代入してはならない
PB.TYPO.EB - 本体が空の制御文を避ける
PB.TYPO.IMO - 目的のメソッドが必ずオーバーライドされるようにする
PB.TYPO.NAMING - メソッド、フィールド、およびそれらを含むクラスに同じ名前を付けてはならない
PB.TYPO.RSK - 同じフィールドに複数の getter/setter メソッドを使用しない
PB.TYPO.TLS - switch 文でテキスト ラベルを使わない
PB.TYPO.UOL - 8 進整数リテラルを使用しない
PB.TYPO.WT - Java のラッパー クラスに渡される引数にタイプミスがないようにする
PB.USC.AES - 空のステートメントを避ける
PB.USC.CC - 必ず定数値に評価される条件式を避ける
PB.USC.EC - 空のクラスを使用しない
PB.USC.EPC - クラスに他のコンストラクターがない場合に、空の public コンストラクタを定義しない
PB.USC.NACC - アクセスできるメンバーのないクラスを使用しない
PB.USC.NASSIG - メソッドおよびコンストラクターの戻り値を必ず使用する
PB.USC.OI - 効果のないインクリメント文およびデクリメント文を避ける
PB.USC.RTE - 例外を再 throw するためだけにキャッチしてはいけない
PB.USC.SAFL - フィールドとローカル変数への自分自身の代入/初期化を避ける
PB.USC.UIF - 到達しない else if と else を避ける
PB.USC.UNARY - 単項演算子 '+' を使用してはいけない
PB.CLOSE - 無制限のロック リソース
PB.EAR - void ではないメソッドの戻り値は、空の配列または null であってはいけない
PB.IKICO - 比較演算に使用されているキーが不変であることを確認する
PB.NAECS - switch 文の 列挙型の各定数に case 文を用意する
PB.OCSF - ファイルと同じ名前を持つ型を 1 つだけ必ず用意する
PB.PCSF - ファイルと同名の型を必ず public として宣言する
PB.PDCL - switch 文の最後の case として default を配置する
PB.PDS - 各 switch 文に default: を用意する
PCIDSS32.651.TDCMD -コマンド インジェクションから防御する
PCIDSS32.651.TDDIG - Jakarta Digester インジェクションから防御する
PCIDSS32.651.TDENV - 環境に対するインジェクションから防御する
PCIDSS32.651.TDINPUT - フォーマット文字列からサニタイズされていないユーザー入力を除外する
PCIDSS32.651.TDJXPATH - JXPath インジェクションから防御する
PCIDSS32.651.TDLDAP - LDAP インジェクションから防御する
PCIDSS32.651.TDLOG - ログの偽造から防御する
PCIDSS32.651.TDNET - ネットワーク リソース インジェクションから防御する
PCIDSS32.651.TDRFL - Reflection インジェクションから防御する
PCIDSS32.651.TDSQL - SQL インジェクションから防御する
PCIDSS32.651.TDXML - XML データ インジェクションから防御する
PCIDSS32.651.TDXPATH - XPath インジェクションから防御する
PCIDSS32.651.UPS - createStatement ではなく prepareCall または prepareStatement を使用する
PCIDSS32.651.XPIJ - XPath クエリーの評価での XPath インジェクションを防ぐ
PCIDSS32.6510.DNSL - 意思決定のための DNS ルックアップを避ける
PCIDSS32.6510.HGRSI -'HttpServletRequest' クラスの 'getRequestedSessionId' メソッドの使用を避ける
PCIDSS32.6510.ISL - LoginContext.login() の前に必ず HttpSession.invalidate() を呼び出すこと
PCIDSS32.6510.PCCF - Castor の jdo-conf.xml でユーザー名およびパスワードをプレーン テキストに保存しない
PCIDSS32.6510.PTPT - Axis の wsdd ファイルでプレーン テキストのパスワードを使用しない
PCIDSS32.6510.PWDXML - パスワードがプレーンテキストとして格納されず、十分な長さがあることを確認する
PCIDSS32.6510.RUIM - セッション有効期限が適切であるようにする
PCIDSS32.6510.STTL - 'web.xml' ファイルでセッションがタイム アウトするよう設定されていることを確認する
PCIDSS32.6510.TDPASSWD - 保護されていない認証情報の使用から保護する
PCIDSS32.6510.UOSC - getSecure() および setSecure() メソッドを使ってセキュアな Cookie の使用を推進する
PCIDSS32.6510.UPWD - 暗号化されていない Hibernate ユーザ名およびパスワードを web.xml ファイルに保存しない
PCIDSS32.6510.UTAX - Axis2 構成ファイルでプレーン テキストのパスワードを使用しない
PCIDSS32.6510.WCPWD - WebSphere の ibm-webservicesclient-ext.xmi ファイルの設定でパスワードを暗号化する
PCIDSS32.6510.WPWD - WebSphere の ibm-webservices-ext.xmi ファイルの設定でパスワードを暗号化する
PCIDSS32.653.ACMD - MessageDigest のカスタム実装の使用を避ける
PCIDSS32.653.AISSAJAVA - Spring でのデータ暗号化で、セキュアではない暗号化アルゴリズムを使用しない
PCIDSS32.653.AISSAXML - Spring XML 設定ファイルで、セキュアではない暗号化アルゴリズムを使用しない
PCIDSS32.653.AUNC - 非テスト クラスでの javax.crypto.NullCipher クラスの使用を避ける
PCIDSS32.653.CKTS - CWE.326.CKTS - 短すぎる暗号化キーを避ける
PCIDSS32.653.ICA - 安全でないアルゴリズムを暗号化のために使用しない
PCIDSS32.653.MDSALT - ハッシュ関数は salt とともに使用する
PCIDSS32.653.PLAIN - パスワード情報がプレーンテキストでプロパティ ファイルに含まれていてはならない
PCIDSS32.653.PLC - 機密データを cookie にプレーンテキストで格納してはならない
PCIDSS32.653.PWDPROP - パスワードがプレーンテキストとして格納されず、十分な長さがあることを確認する
PCIDSS32.653.SRD - java.util.Random または Math.random() の代わりに java.security.SecureRandom を使用する
PCIDSS32.654.CONSEN - 機密情報をログに記録しない
PCIDSS32.654.HCCK - ハード コーディングされた暗号化キーの使用を避ける
PCIDSS32.654.HTTPS - axis2.xml 構成ファイルの transportReceiver および transportSender で http ではなく https を使用する
PCIDSS32.654.MCMDU - MessageDigest オブジェクトは 'update' メソッドでデータを処理する必要がある
PCIDSS32.654.SIKG - KeyGenerator インスタンスを初期化する
PCIDSS32.654.USC - 可能であれば SSL を利用できるクラスを使用する
PCIDSS32.655.ACPST - Throwable オブジェクトの printStackTrace() メソッドを呼び出さない
PCIDSS32.655.AECB - 空の try、catch、finally ブロックを避ける
PCIDSS32.655.ARCF - try-catch ブロック内に return 文がある場合、 finally ブロックでの return 文の使用を避ける
PCIDSS32.655.CETS - サーブレット メソッド内で throw されるすべての例外をキャッチする
PCIDSS32.655.CHECKRET - 非 void メソッドの戻り値を必ずチェックする
PCIDSS32.655.CRRV - 読み込みまたはスキップを行うメソッドの戻り値を確認する
PCIDSS32.655.LGE - すべての例外が標準のロガーでログに記録されるか、再 throw されるようにする
PCIDSS32.655.PEO - 機密情報のリークを防ぐため、例外メッセージを出力に渡してはならない
PCIDSS32.655.SENS - 機密データの公開を防止する
PCIDSS32.655.SEP - web.xml で必ずエラー ページを指定する
PCIDSS32.655.SIO - System.err または System.out の print メソッドの呼び出しを避ける
PCIDSS32.657.CDBV - 検証の前にすべてのデータを正規化する
PCIDSS32.657.TDRESP - HTTP レスポンス分割から防御する
PCIDSS32.657.TDXSS - XSS 脆弱性から防御する
PCIDSS32.658.AUSS - SQL クエリ内の "SELECT *" を避ける
PCIDSS32.658.CAM - すべての認証メソッドを集中化して一貫性を徹底する
PCIDSS32.658.DPANY - ANYONE ロールに EJB のアクセス パーミッションを与えない
PCIDSS32.658.DSR - web.xml ファイルに複数のセキュリティ ロールを同じ名前で定義しない
PCIDSS32.658.LCA - web.xml ファイルで適切な <login-config> 要素を指定して認証タイプを指定する
PCIDSS32.658.MLVP - validation.xml ファイルのパスワード フィールドに minlength バリデーターを使用する
PCIDSS32.658.PERMIT - セキュリティ アノテーションのない EJB 3 メソッドを避ける
PCIDSS32.658.SRCD - web.xml で参照されるすべてのセキュリティ ロールに対応する定義がなければならない
PCIDSS32.658.SSM - 適切なセキュリティ マネージャーを設定する
PCIDSS32.658.TDFNAMES - ファイル名インジェクションから防御する
PCIDSS32.659.EACM - 危険なメソッドの引数を検証メソッドでカプセル化する
PCIDSS32.659.VPPD - すべての危険なデータを検証する
PORT.CTSP - Thread.setPriority() を呼び出さない
PORT.DNHCP - File クラスからコンストラクターを呼び出すときに絶対パスをハード コーディングしてはいけない
PORT.ENV - 移植可能ではない System.getenv() メソッドを使用しない
PORT.EXEC - Runtime.exec() を使用しない
PORT.HCNA - IP アドレスとポート番号をハード コーディングしてはいけない
PORT.LNSP - '\\n' または '\\r' を行分離記号としてハードコーディングしない
PORT.NATV - ユーザー定義の native メソッドを使用しない
PORT.PEER - ユーザー定義の native メソッドを使用しない
PORT.PSC - 該当するリテラルの代わりに File.pathSeparator または File.pathSeparatorChar を使用する
PROPS.BSPV - プロパティ値の最後に余分な空白を付加しない
PROPS.DUPN - 重複するプロパティ名を避ける
PROPS.DUPV - 重複するプロパティ値を避ける
PROPS.EMN - 空のプロパティ名を避ける
PROPS.EMV - 空のプロパティ値を避ける
PROPS.EQOP - 常に '=' 演算子を使用する
PROPS.FM - プロパティエントリ数を制限する
PROPS.HCLS - プロパティ値ではハードコーディングされた改行を使用しない
PROPS.IARG - プロパティ値の誤った引数を避ける
PROPS.ICK - 不完全なプロパティエントリを避ける
PROPS.IVCC - 継続行文字 '\\' の誤用を避ける
PROPS.MENTRY - 異なるロケール間でのプロパティエントリの不一致を避ける
PROPS.MLN - 複数行に分割されたプロパティ名を避ける
PROPS.NAME - プロパティ名の命名規則を推進する
PROPS.PLAIN - パスワード情報がプレーンテキストでプロパティ ファイルに含まれていてはならない
PROPS.SPELL - コメントとプロパティ値の綴り間違いを避ける
PROPS.TENTRY - プロパティエントリが正しくローカライズされるようにする
SECURITY.BV.ACL - Web コンポーネントでクラス ローダーにアクセスしない
SECURITY.BV.ADT - Date、Time オブジェクトまたは System.currentTimeMillis() メソッドの使用を検査する
SECURITY.BV.AUG - java.lang.Class オブジェクトの getName() メソッドの使用を検査する
SECURITY.BV.CQRO - Castor クエリーでは read-only AccessMode を使用する
SECURITY.BV.DSSM - main メソッドの外でカスタム セキュリティ マネージャーを設定してはいけない
SECURITY.BV.ENFL - すべてのセキュリティ関連メソッドの呼び出しを必ずログに記録する
SECURITY.BV.NSF - Web コンポーネントで Socket.setSocketImplFactory() または URL.setURLStreamHandlerFactory() を呼び出さない
SECURITY.BV.PCFM - 「特権付き」メソッドの呼び出しを final メソッドでラップする
SECURITY.BV.PCPM - 「特権付き」メソッドの呼び出しを private メソッドでラップする
SECURITY.BV.PDLC - 「特権付き」 コード ブロックでは、動的にロードされたクラスを使用しない
SECURITY.BV.SYSP - システム プロパティにアクセスまたは値を設定してはならない
SECURITY.DRC.THR - Web コンポーネントでスレッドを使用しない
SECURITY.EAB.ACWC - Web コンポーネントまたは EJB から特定のメソッドを呼び出さない
SECURITY.EAB.AWT - Web コンポーネントで AWT クラスを使用しない
SECURITY.EAB.CBA - writeObject() で ObjectOutputStream にバイト配列を渡してはいけない
SECURITY.EAB.CMP - クラス オブジェクトを名前で比較しない
SECURITY.EAB.CPCL - clone() メソッドでは防御的なコピーを返す
SECURITY.EAB.JVM - Web コンポーネントで JVM を停止しない
SECURITY.EAB.LDP - 1 クラスあたりの AccessController.doPrivileged の呼び出しの数を制限する
SECURITY.EAB.MPT - ユーザから取得した可変オブジェクトを特定の型に直接渡してはならない
SECURITY.EAB.OROM - すべての serializable クラスに対して readObject() と writeObject() を実装する
SECURITY.EAB.PCL - 「特権付き」コード ブロックの行数を制限する
SECURITY.EAB.SF - Web コンポーネントで static フィールドを宣言しない
SECURITY.EAB.SIS - Web コンポーネントで java.lang.System の入力ストリームを変更しない
SECURITY.EAB.SMO - ユーザ定義の可変オブジェクトを直接変数に格納してはいけない
SECURITY.EAB.SPFF - static final 宣言が意図されていた可能性のある static フィールドを検査する
SECURITY.ESD.ACW - コンソールへの書き込みを避ける
SECURITY.ESD.CONSEN - 機密情報をログに記録しない
SECURITY.ESD.CSD - 機密データは使用後に消去する
SECURITY.ESD.PEO - 機密情報のリークを防ぐため、例外メッセージを出力に渡してはならない
SECURITY.ESD.PLC - 機密データを cookie にプレーンテキストで格納してはならない
SECURITY.ESD.RA - 配列や他の可変フィールドの返却によって内部表現を公開するかもしれないメソッドは避ける
SECURITY.ESD.SDM - 機密データを可変オブジェクトに格納する
SECURITY.ESD.SIF - serializable オブジェクトのインスタンス フィールドをチェックして機密データを公開していないことを確認する
SECURITY.ESD.SIO - System.err または System.out の print メソッドの呼び出しを避ける
SECURITY.ESD.SNFD - FileNotFound 例外でデータを公開しない
SECURITY.ESD.SPI - Web コンポーネントでセキュリティ ポリシー情報を取得または変更しない
SECURITY.ESD.TFP - transient フィールドを private 宣言する
SECURITY.ESD.TSPF - serialPersistentFields 配列で transient フィールドを避ける
SECURITY.IBA.AEAF - DStruts クラスの ActionForm および DynaActionForm を継承してはいけない
SECURITY.IBA.ATF - テンポラリ ファイルを使用しない
SECURITY.IBA.AUSS - SQL クエリ内の \"SELECT *\" を避ける
SECURITY.IBA.AUXD - XMLDecoder で信頼されていないデータを解析しない
SECURITY.IBA.CDBV - 検証の前にすべてのデータを正規化する
SECURITY.IBA.CSVFV - ActionForm クラスの検証メソッドから必ず super.validate() メソッドを呼び出すこと
SECURITY.IBA.DXXE - XML 外部エンティティ インジェクションを無効化する
SECURITY.IBA.EDPM - コンストラクター引数を検証関数でカプセル化する
SECURITY.IBA.NATIW - ネイティブ メソッドを安全にするためにラッパーを使用する
SECURITY.IBA.RUIM - セッション有効期限が適切であるようにする
SECURITY.IBA.SC - LDAP のデシリアライズを無効化する
SECURITY.IBA.UPS - createStatement ではなく prepareCall または prepareStatement を使用する
SECURITY.IBA.VRD - すべてのリダイレクトおよびフォワード URL を検証メソッドでカプセル化する
SECURITY.IBA.XPIJ - XPath クエリーの評価での XPath インジェクションを防ぐ
SECURITY.UEC.ADS - Axis の server-config.wsdd ファイルで axis.development.system を false に設定する
SECURITY.UEC.AELQ - Axis の server-config.wsdd ファイルで axis.enableListQuery を false に設定する
SECURITY.UEC.DSL - Axis の server-config.wsdd ファイルで axis.disableServiceList を true に設定する
SECURITY.UEC.DSR - web.xml ファイルに複数のセキュリティ ロールを同じ名前で定義しない
SECURITY.UEC.EDAR - Axis2 構成ファイルの各 items タグに Encrypt ディレクティブを指定する
SECURITY.UEC.FMCD - web.xml ファイルでマップされているすべてのフィルターに対応する定義がなければならない
SECURITY.UEC.HTTPS - axis2.xml 構成ファイルの transportReceiver および transportSender で http ではなく https を使用する
SECURITY.UEC.ISOS - axis2.xml 構成ファイルで InflowSecurity および OutflowSecurity 引数を指定する
SECURITY.UEC.LCA - web.xml ファイルで適切な <login-config> 要素を指定して認証タイプを指定する
SECURITY.UEC.PCCF - Castor の jdo-conf.xml でユーザー名およびパスワードをプレーン テキストに保存しない
SECURITY.UEC.PTPT - Axis の wsdd ファイルでプレーン テキストのパスワードを使用しない
SECURITY.UEC.PWDPROP - パスワードがプレーンテキストとして格納されず、十分な長さがあることを確認する
SECURITY.UEC.PWDXML - パスワードがプレーンテキストとして格納されず、十分な長さがあることを確認する
SECURITY.UEC.RAJ - web.xml ファイルに *.jsp ファイルに対するセキュリティ制約を追加することで、JSP へのアクセスを制限する
SECURITY.UEC.REST - axis2.xml 構成ファイルで REST を無効にする
SECURITY.UEC.SDAR - Axis2 構成ファイルの各 items タグに Signature ディレクティブを指定する
SECURITY.UEC.SEP - web.xml で必ずエラー ページを指定する
SECURITY.UEC.SLID - セッション ID の長さが適切であることを確認する
SECURITY.UEC.SMM - SOAP Monitor モジュールを使用しない
SECURITY.UEC.SRCD - web.xml で参照されるすべてのセキュリティ ロールに対応する定義がなければならない
SECURITY.UEC.STTL - 'web.xml' ファイルでセッションがタイム アウトするよう設定されていることを確認する
SECURITY.UEC.TDAR - Axis2 構成ファイルの各 items タグに Timestamp ディレクティブを指定する
SECURITY.UEC.UDC - web.xml ファイルのすべての制約付きリソースを <user-data-constraint> で防御する
SECURITY.UEC.UTAX - Axis2 構成ファイルでプレーン テキストのパスワードを使用しない
SECURITY.UEC.WCMC - WebSphere の ibm-webservicesclient-ext.xmi ファイルの設定で SOAP メッセージを暗号化する
SECURITY.UEC.WCMI - WebSphere の ibm-webservicesclient-ext.xmi ファイルの設定で SOAP メッセージに電子署名されるようにする
SECURITY.UEC.WCMT - WebSphere の ibm-webservicesclient-ext.xmi ファイルで、タイムスタンプを正しく設定する
SECURITY.UEC.WCMWS - ibm-webservicesclient-ext.xmi ファイルで WS-Security を有効にする
SECURITY.UEC.WCPWD - WebSphere の ibm-webservicesclient-ext.xmi ファイルの設定でパスワードを暗号化する
SECURITY.UEC.WCUTS - WebSphere の ibm-webservicesclient-ext.xmi ファイルの設定で、タイムスタンプに署名する
SECURITY.UEC.WELC - すべての Web コンテンツ ディレクトリに「ウェルカム ファイル」があることを確認する
SECURITY.UEC.WMC - WebSphere の ibm-webservices-ext.xmi ファイルの設定で SOAP メッセージを暗号化する
SECURITY.UEC.WMI - WebSphere の ibm-webservices-ext.xmi ファイルの設定で、SOAP メッセージにデジタル署名する
SECURITY.UEC.WMT - WebSphere の ibm-webservices-ext.xmi ファイルで、タイムスタンプを正しく設定する
SECURITY.UEC.WMWS - WebSphere の ibm-webservices-ext.xmi ファイルで WS-Security を有効にする
SECURITY.UEC.WPWD - WebSphere の ibm-webservices-ext.xmi ファイルの設定でパスワードを暗号化する
SECURITY.UEC.WSS - Axis2 構成ファイルで Rampart WS-Security モジュールを有効にする
SECURITY.UEC.WUTS - WebSphere の ibm-webservices-ext.xmi ファイルの設定で、タイムスタンプに署名する
SECURITY.UEHL.DCEMSL - Seam Logging API を使用してメッセージをログに記録する場合、信頼されていない入力を使用しない
SECURITY.UEHL.LGE - すべての例外が標準のロガーでログに記録されるか、再 throw されるようにする
SECURITY.WSC.ACDP - AccessController.doPrivileged() を呼び出すときに匿名の「特権付き」クラスを使用しない
SECURITY.WSC.ACMD - MessageDigest のカスタム実装の使用を避ける
SECURITY.WSC.ACPST - Throwable オブジェクトの printStackTrace() メソッドを呼び出さない
SECURITY.WSC.AHCA - 特定のメソッドへの引数をハードコーディングしない
SECURITY.WSC.AISSAJAVA - Spring でのデータ暗号化で、セキュアではない暗号化アルゴリズムを使用しない
SECURITY.WSC.AISSAXML - Spring XML 設定ファイルで、セキュアではない暗号化アルゴリズムを使用しない
SECURITY.WSC.AMA - スーパークラスよりもアクセシビリティの高いコンストラクターまたはオーバーライド メソッドを避ける
SECURITY.WSC.APIBS - セキュリティを迂回する標準 API 呼び出しの使用を検査する
SECURITY.WSC.ARXML - ただのテキストではなくライブラリで XML および HTML を処理する
SECURITY.WSC.ASAPI - scripting API が信頼性のないコードを実行するのを防ぐ
SECURITY.WSC.AUIC - インナー クラスの使用を避ける
SECURITY.WSC.AUNC - 非テスト クラスでの javax.crypto.NullCipher クラスの使用を避ける
SECURITY.WSC.BP - 特定のプロバイダーだけを Security.addProvider() メソッドに渡す
SECURITY.WSC.BUSSB - 外部プロセスが出力またはエラー ストリームをブロックするのを防ぐ
SECURITY.WSC.CACM - すべてのアクセス制御メソッドを集中化して一貫性を徹底する
SECURITY.WSC.CAM - すべての認証メソッドを集中化して一貫性を徹底する
SECURITY.WSC.CAP - フィールドに格納される配列引数を必ず複製する
SECURITY.WSC.CFM - final ではないクラスの特定のコード ブロックからは final メソッドだけを呼び出す
SECURITY.WSC.CIFC - final クラスのインスタンスだけを clone() する
SECURITY.WSC.CKTS - 短すぎる暗号化キーを避ける
SECURITY.WSC.CL - カスタム クラス ローダーを定義してはいけない
SECURITY.WSC.CLI - ClassLoader オブジェクトのインスタンス生成を検査する
SECURITY.WSC.CLO - findClass() 以外の ClassLoader のメソッドをオーバーライドしない
SECURITY.WSC.CLONE - セキュリティのために clone () を final 宣言する
SECURITY.WSC.CMO - writeObject() で ObjectOutputStream に可変オブジェクトを渡さない
SECURITY.WSC.DCSM - カスタム SecurityManager を定義してはいけない
SECURITY.WSC.DNSL - 意思決定のための DNS ルックアップを避ける
SECURITY.WSC.DSER - クラスをデシリアライズ不可能にする
SECURITY.WSC.ENPP - 特定のメソッドに渡される引数が事前に定義されたメソッドのリストからきていることを確認する
SECURITY.WSC.EWSSEC - Spring Security フレームワークからのデバッグ情報をログに記録しない
SECURITY.WSC.FIMU - 不変クラスを final にする
SECURITY.WSC.FXMLP - Secure Processing を使用する
SECURITY.WSC.HCCK - ハード コーディングされた暗号化キーの使用を避ける
SECURITY.WSC.HCCS - ハードコーディングされたユーザー名/パスワード/URL をデータベース接続メソッドに渡すことを避ける
SECURITY.WSC.HGRSI -'HttpServletRequest' クラスの 'getRequestedSessionId' メソッドの使用を避ける
SECURITY.WSC.HV - HostnameVerifier.verify() メソッドが証明書を検証していることを確認する
SECURITY.WSC.ICA - 安全でないアルゴリズムを暗号化のために使用しない
SECURITY.WSC.INIVF - 非 final クラスのインスタンスが部分的に初期化されるのを防ぐ
SECURITY.WSC.INNER - すべてのメンバー クラスを private にする
SECURITY.WSC.ISL - LoginContext.login() の前に必ず HttpSession.invalidate() を呼び出すこと
SECURITY.WSC.IVR - IvParameterSpec を使用する際はランダムではない byte[] を避ける
SECURITY.WSC.MCMDU - MessageDigest オブジェクトは 'update' メソッドでデータを処理する必要がある
SECURITY.WSC.MCNC - クラスをクローン不可能にする
SECURITY.WSC.MDSALT - ハッシュ関数は salt とともに使用する
SECURITY.WSC.PAC - 認証メソッドを呼び出して一貫性を徹底する
SECURITY.WSC.PACC - アクセス制御メソッドを呼び出して一貫性を徹底する
SECURITY.WSC.PAF - PrivilegedAction、PrivilegedExceptionAction および PrivilegedActionException のサブクラスを final 宣言する
SECURITY.WSC.PBPSF - Permission および BasicPermission のサブクラスを final 宣言する
SECURITY.WSC.PBRTE - 必ず実行コマンドへの絶対パスを指定する
SECURITY.WSC.PPKG - すべての Permissions、PrivilegedActions、および and PrivilegedActionExceptions を同じパッケージで宣言する
SECURITY.WSC.PRMF - PrivilegedAction および PrivilegedExceptionAction の実装の run() メソッドを final 宣言する
SECURITY.WSC.PSFC - フィールドを Collection または Map 型の public static final オブジェクトとして宣言しない
SECURITY.WSC.RDM - Random オブジェクトまたは Math.random() メソッドを調査して悪意のあるコードがないことを検証する
SECURITY.WSC.SCF - フィールドを設定または取得する前に SecurityManager でチェックする
SECURITY.WSC.SCHTTP - cookie を HttpOnly としてマークする
SECURITY.WSC.SCLONE - Clonable クラスで SecurityManager のチェックを行う
SECURITY.WSC.SCSER - Serializable クラスのメソッドで SecurityManager のチェックを行う
SECURITY.WSC.SCSM - 機密性の高い型の final ではない public コンストラクターで SecurityManager のチェックを行う
SECURITY.WSC.SER - クラスはシリアライズ不可にする
SECURITY.WSC.SIKG - KeyGenerator インスタンスを初期化する
SECURITY.WSC.SL - 定数宣言、および System.out または System.err の 'print' または 'println' メソッドを除いては、文字列リテラルを使用しない
SECURITY.WSC.SMSTR - Socket による転送または取得の前に SecurityManager のチェックを行う
SECURITY.WSC.SRD - java.util.Random または Math.random() の代わりに java.security.SecureRandom を使用する
SECURITY.WSC.SS - Web コンポーネントでソケットを使用しない
SECURITY.WSC.SSM - 適切なセキュリティ マネージャーを設定する
SECURITY.WSC.SSP - Web コンポーネントで System.setProperty() を呼び出さない
SECURITY.WSC.STREP - ライブラリ メソッドを使用して HTML および XML の特殊文字の文字列置換を行う
SECURITY.WSC.UMAIN - main() メソッドはクラスへの認可されていないアクセスを許す可能性があるため、使用を避ける
SECURITY.WSC.UOSC - getSecure() および setSecure() メソッドを使ってセキュアな Cookie の使用を推進する
SECURITY.WSC.USC - 可能であれば SSL を利用できるクラスを使用する
SECURITY.WSC.UWM - 危険または問題のあるメソッドを直接呼ぶ代わりにラッパーメソッドを使用する (カスタムルール)
SECURITY.WSC.VJFS - 必ず JarFile シグニチャを検証する
SECURITY.WSC.VSI - サーバー識別子を適切に検証する
SECURITY.WSC.ZOIS - スクリプティング API の使用を検査する
SERIAL.DUID - すべての Serializable クラスに対して serialVersionUID を作成する
SERIAL.ENNAC - Externalizable を実装しているが引数なしコンストラクターを定義していないクラスを避ける
SERIAL.EZEE - Serializable ではなく Externalizable を実装する
SERIAL.FT - シリアライズ可能ではないクラスに transient フィールドを宣言しない
SERIAL.IRX - Externalizable クラスの readExternal() メソッドでフィールドを再初期化しない
SERIAL.MRWD - readResolve() および writeReplace() メソッドの戻り値の型は必ず java.lang.Object にする
SERIAL.NSFSC - 正しい Serializable クラスを使用する
SERIAL.OC - インナー クラスが serializable の場合、外側のクラスも serializable にする
SERIAL.ROWO - readObject() と writeObject() メソッドが正しいシグネチャを持つようにする
SERIAL.RRSC - すべての Serializable 型のインスタンスで readResolve メソッドを定義する
SERIAL.RWAF - すべてのフィールドを readObject() メソッドによって代入し writeObject() によって書き出す
SERIAL.SCBNP - Serializable でない親クラスから派生する Serializable なサブクラスに必ず writeObject および readObject メソッドを宣言する
SERIAL.SNNAC - 引数なしコンストラクターを持たないスーパー クラスを拡張するクラスのシリアライズを避ける
SERIAL.SNSO - Serializable ではないオブジェクトを HttpSession 属性として格納しない
SERIAL.SPF - serialPersistentFields を private static final として宣言する
SERIAL.SRLZ - Serializable を実装していないクラスで serialVersionUID を宣言しない
SERIAL.SROS - readObject() メソッドを synchronized として宣言してはいけない
SERIAL.VOBD - デシリアライズの前にオブジェクトを検証する
SERVLET.AJDBC - Servlet クラスでの JDBC コードの使用は避ける
SERVLET.BINS - java.beans.Beans.instantiate () を使用しない
SERVLET.CETS - サーブレット メソッド内で throw されるすべての例外をキャッチする
SERVLET.DSN - 同じ <servlet-name> を持つ複数の <servlet> 要素を 1 つの web.xml ファイル内に記述しない
SERVLET.IF - Servlet クラスでインスタンス フィールドを定義してはいけない
SERVLET.LML - サーブレットではサイズの制限がない Collection の使用を避ける
SERVLET.MDC - 引数なしの public コンストラクターを宣言する
SERVLET.NMS - web.xml ファイルの1 サーブレットあたりのマッピングの数を制限する
SERVLET.NSIS - サーブレットで static 変数を作成してはいけない
SERVLET.NSSS - 同期化せずにサーブレットで static 変数を使用してはいけない
SERVLET.SCM - web.xml ファイルにすべてのサーブレットに対応するマッピングがあることを確認する
SERVLET.SDTD - web.xml ファイルに適切なスキーマまたは DTD を指定する
SERVLET.SOP - サーブレットでの System.out や System.err の使用を最小限に抑える
SERVLET.SSN - web.xml ファイルのすべての <servlet> 要素に 1 つの空ではない <servlet-name> 要素があることを確認する
SERVLET.STM - サーブレット クラス内で SingleThreadModel を使用しない
SERVLET.SYN - サーブレット内の同期化を最小限にする
SERVLET.UCO - Context Object を使って HTTP リクエスト パラメーターを管理する
SPRING.ACARG - コンストラクターのインジェクションを避ける
SPRING.ATCFG - 構成クラスの規則に従う
SPRING.DCSRFJAVA - CSRF 防護を無効にしない
SPRING.DCSRFXML - CSRF 防護を無効にしない
SPRING.DESC - 構成ファイルのヘッダーで description タグを使用する
SPRING.IDNAME - name と id を同時に使用しない
SPRING.IMPORTSRES - 相対パス ''../'' を使用して親ファイルを参照してはならない
SPRING.JDBCTEMPLATE - ネイティブ JDBC の使用を避ける
SPRING.LOCAL - ローカル スコープで local プロパティ属性を使用する
SPRING.PREFTYPE - コンストラクター引数のマッチングでは index より type を使用するほうが望ましい
SPRING.PROPLIMIT - bean プロパティの規約に従う
SPRING.REQMAP - @RequestMapping アノテーションがあるメソッドに呼び出す HTTP メソッドが指定されていることを確認する
SPRING.SPRNAM - spring bean の命名規約を使用する
SPRING.USEID - bean の識別子として ID を使用する
STRUTS.STRUTS2.S2DAFV - フィールド バリデーターの重複を避ける
STRUTS.STRUTS2.S2DV - バリデーターの重複を避ける
STRUTS.STRUTS2.S2DVF - バリデーション ファイルの重複を避ける
STRUTS.STRUTS2.S2NA - 各バリデーション ファイルに対応する Action があることを確認する
STRUTS.ACDA - Action クラスからデータベースにアクセスしないようにする
STRUTS.ACJC - Action クラスから JSP ページにアクセスしないようにする
STRUTS.AIV - struts-config.xml ファイルで <action> 要素にバリデーションがある場合、@input 属性を指定する
STRUTS.AMFB - struts-config.xml ファイルのすべての名前付き <action> 要素に <form-bean> を指定する
STRUTS.APSN - struts-config.xml ファイルの名前のない <action> 要素に @prefix、@suffix、および @attribute を指定しない
STRUTS.ARP - struts-config.xml の属性で相対パスを使用しない
STRUTS.DFV - validation.xml でフォームの重複を避ける
STRUTS.DLGF - 同じ名前のローカル フォワードとグローバル フォワードを struts-config.xml ファイルで使用しないようにする
STRUTS.EV - Struts の struts-config.xml でバリデーターが有効であることを確認する
STRUTS.FIELDS - フォーム Bean 中の各フィールドは適切な getter/setter メソッドを持つべきである
STRUTS.FORM - フォーム Bean には getter/setter メソッドだけを含める
STRUTS.FWD - struts-config.xml ファイルのすべての <forward> 要素に空ではない名前とパスを指定する
STRUTS.IACM - Action クラスのメソッドを呼び出さないようにする
STRUTS.INST - Struts Action クラスでインスタンス変数を宣言してはいけない
STRUTS.MFBSN - struts-config.xml ファイルに同じ名前の複数のフォーム Bean を定義しない
STRUTS.MLFF - Struts バリデーション ファイルのすべてのフォーム フィールドに有効な maxlength 値を指定する
STRUTS.MLVP - validation.xml ファイルのパスワード フィールドに minlength バリデーターを使用する
STRUTS.NTFB - struts-config.xml ファイルのすべてのフォーム Bean に名前と型を指定する
STRUTS.PFS - struts-config.xml ファイルの <action> および <forward> 要素の @path 属性が '/' で始まっていることを確認する
STRUTS.PLUGIN - struts-config.xml にプラグインが追加されていることを確認する
STRUTS.PMAC - Action クラスでは public メソッドを避ける
STRUTS.PTE - struts-config.xml ファイルのすべての <exception> 要素に空ではないパスおよび型を指定する
STRUTS.RSS - struts-config.xml のアクションまたは例外の scope 属性に request または session が設定されていることを確認する
STRUTS.SCDTD - struts-config.xml ファイルで Struts DTD を使用してバリデーションを行う
STRUTS.TAFP - struts-config.xml ファイルのすべての <form-property> 要素に有効な type 属性を指定する
STRUTS.VPI - すべての struts-config.xml ファイルで Struts Validator プラグインを有効にする
TRS.AIL - 常に同期化された方法でアクセスされる Atomic 変数を使用しない
TRS.ANF - notify () ではなく notifyAll () を使用し、すべての待ち状態のスレッドが通知されるようにする
TRS.ATI - Thread.interrupted() を誤って使用しない
TRS.AUTG - 安全でない java.lang.ThreadGroup 型の変数を使用しない
TRS.AUTY - Thread.yield () を使用しない。異なる仮想マシンの下では振る舞いが異なる可能性がある
TRS.CDF - static な Calendar, DateFormat, SimpleDateFormat を使ってメソッドを呼び出さないようにする
TRS.CHM - 可能な限り Hashtable および synchronizedMap でラップされた HashMap の代わりに ConcurrentHashMap を使用する
TRS.CIET - Thread を拡張するクラス以外で InterruptedException をキャッチしない
TRS.CLQ - 可能な限り Vector および synchronizedList の代わりに ConcurrentLinkedQueue を使用する
TRS.CMA - 同期化された Collection に対する複合アクションによるアクセスは原子性に違反するため避ける
TRS.CSFS - デッドロック発生の原因となる synchronized メソッドからの synchronized メソッドの呼び出しを避ける
TRS.CSTART - コンストラクタからスレッドの start メソッドを呼び出さない
TRS.CTRE - コンストラクターで this 参照を流出させない
TRS.DCL - 安全ではない「ダブルチェック ロッキング」パターンの実装を避ける
TRS.DOPQ - PriorityBlockingQueue で DiscardOldestPolicy を使用しない
TRS.GSD - デバッグ目的の場合を除いて、getState を使用しない
TRS.IASF - 同期化が必要な可能性のある static フィールドへのアクセスを検査する
TRS.ILI - スレッドセーフな遅延初期化にする
TRS.IMSE - IllegalMonitorStateException をキャッチしてはいけない。この例外は設計の欠陥を示している可能性がある
TRS.IRET - Thread を拡張するのではなく Runnable を実装する
TRS.IRUN - java.lang.Thread を拡張するクラスまたは java.lang.Runnable を実装するクラスで run() を直接呼び出さない
TRS.ISTART - Thread クラスのインスタンスに対して直接 'start()' メソッドを呼び出さない
TRS.LORD - ネストされたロックの順序が正しいことを確認する
TRS.MRAV - 関連のある複数の Atomic 変数には synchronized ブロック内でアクセスする
TRS.MRUN - 別のスレッドとして実行できるようにスレッドのサブクラスには run () を入れる
TRS.NAME - スレッドに必ず名前を付ける
TRS.NSM - メソッド宣言全体を synchronized にするのではなく、synchronized ブロックを使用する
TRS.NSYN - 外側のメソッドのスコープで明確に同期化されたオブジェクトで wait()、notify()、notifyAll() を呼び出す
TRS.OSNS - 同期化されたメソッドを同期化されていないメソッドでオーバーライドしてはならない
TRS.RLF - finally ブロックでロックを解放する
TRS.RUN - Runnable.run() を実装するメソッドで同期化を使用する
TRS.SCS - 定数 String を同期化しない
TRS.SGC - 'getClass' メソッドから返されたクラス オブジェクトを同期しない
TRS.SNSM - static の synchronized メソッドと static でない synchronized メソッドを混合させない
TRS.SOBC - 背後のコレクションにアクセス可能な場合、コレクション ビューを同期しない
TRS.SOL - java.util.concurrent.locks.Lock の実装に synchronized キーワードを使用して同期化を実行してはいけない
TRS.SOPF - デッドロックを引き起こす可能性があるため、public フィールドを同期化しない
TRS.SOUF - 相互排除を保障するのが難しくなるため、final ではないフィールドを同期化してはいけない
TRS.SSCI - synchronized Collection を反復処理する場合は、手動で同期化する
TRS.SSDF - static な SimpleDateFormat へのアクセスを同期する
TRS.SSUG - set メソッドを同期化している場合、get メソッドも同期化する
TRS.STR - Object の this 参照で同期化を実行したりセマフォ メソッドを呼び出したりしてはいけない
TRS.THRD - Thread および Runtime クラスの安全でなく推奨されないメソッドを呼び出さない
TRS.TSHL - ロックを保持している間に Thread.sleep() を呼び出さない。さもないとパフォーマンスを劣化させたりデッドロックを引き起こしたりする
TRS.UACS - Collections.synchronized でラップされた Collection の同期化されていないアクセスを避ける
TRS.UCM - 安全な場合にだけ同期化されていない Collection または Map を使用する
TRS.USL - 同一のロック オブジェクトを使用して変数にアクセスする
TRS.UT - run() メソッドを指定せずにスレッドを開始してはならない
TRS.UWIL - liveness 状態をテストするループの内部でだけ wait () と await() を呼び出す
TRS.UWNA - ポーリング ループではなく wait () および notifyAll () を使用する
TRS.WOC - java.util.concurrent.locks.Condition オブジェクトで正しいメソッド呼び出しを使用する
TRS.WOS - 他のメソッドが同期化されていない場合、writeObject() メソッドを同期化してはいけない
UC.AAI - インターフェイスの不要な修飾子を避ける
UC.ACC - コメント アウトされた Java コードを削除する
UC.AEEO - クラスは java.lang.Object を明示的に継承するべきではない
UC.AESTAT - 空の「static イニシャライザー」と「static ではないイニシャライザー」を避ける
UC.AMAMI - 親クラスの abstract メソッドを abstract メソッドでオーバーライドしてはならない
UC.ARTD - 冗長な throws 句を避ける
UC.AUL - 未使用ラベルを避ける
UC.AURCO - 一度も読まれない Collection を避ける
UC.AURV - 決して読まれないローカル変数の使用を避ける
UC.BCMP - 不要なブール比較を避ける
UC.DIEB - if ブランチに重複するコードを記述しない
UC.DIL - java.lang.* パッケージを明示的にインポートしない
UC.EF - 空の finalize() メソッドを避ける
UC.FCSF - スーパークラスの finalize() を呼び出すだけの finalize() メソッドは冗長なので使用してはいけない
UC.FMFC - final クラスのメソッドの宣言で冗長な final キーワードを使用しない
UC.PF - 未使用の private フィールドを避ける
UC.PIMPORT - 現行クラスを持つパッケージからクラスをインポートしてはいけない
UC.PM - 未使用の private メソッドを避ける
UC.RSKE - 列挙型の宣言で冗長な static キーワードを使用している
UC.SNE - 空の synchronized 文を避ける
UC.SO - オーバーライドされた実装 (スーパークラス実装) を呼び出すだけのメソッドを避ける
UC.UCATCH - キャッチした例外を catch ブロックで必ず使用する
UC.UCIF - 不要な if 文を避ける
UC.UES - 不要な else 文を使用している
UC.UIMPORT - 未使用の import 文を避ける
UC.UP - 使用されないパラメーターを避ける
UC.UPC - 未使用の private なクラスまたはインターフェイスの宣言を避ける
UC.VR - void メソッドの最後の不要な return 文を避ける
XML.DLTH - Tomcat の server.xml で高すぎるデバッグ レベルを使用しない
XML.WF - XML ファイルが整形式であることを確認する
