繼續對Fortify的漏洞進行總結，本篇主要針對 Portability Flaw: Locale Dependent Comparison 漏洞進行總結，以下：java
1、Portability Flaw: Locale Dependent Comparison
1.1、產生緣由：
對可能與區域設置相關的數據進行比較時，應指定相應的區域設置。數據庫
示例 1：如下示例嘗試執行驗證，以肯定用戶輸入是否包含 <script> 標籤。函數
...
public String tagProcessor(String tag){
if (tag.toUpperCase().equals("SCRIPT")){
return null;
}
//does not contain SCRIPT tag, keep processing input
...
}
...spa
關於上述代碼的問題是：在使用不帶區域設置的java.lang.String.toUpperCase() 時，其將使用默認的區域設置規則。使用土耳其區域設置"title".toUpperCase() 時將返回 "T\u0130TLE"，其中 "\u0130" 是 "LATIN CAPITAL LETTER I WITH DOT ABOVE" 字符。這會致使生成意外結果，例如，在示例 1 中，會致使此驗證沒法捕獲 "script" 一詞，從而可能形成跨站腳本攻擊漏洞。code
1.2、修復方案：
爲了防止出現此問題，請始終確保指定默認區域設置，或者指定能夠接受這些字符（如toUpperCase()）並帶有 API 的區域設置。ip
示例 2:如下示例經過手動方式將區域設置指定爲 toUpperCase() 的參數。ci
import java.util.Locale;
...
public String tagProcessor(String tag){
if (tag.toUpperCase(Locale.ENGLISH).equals("SCRIPT")){
return null;
}
//does not contain SCRIPT tag, keep processing input
...
}
...開發
示例 3：如下示例使用了函數java.lang.String.equalsIgnoreCase() API 以防止出現此問題。
...
public String tagProcessor(String tag){
if (tag.equalsIgnoreCase("SCRIPT")){
return null;
}
//does not contain SCRIPT tag, keep processing input
...
}
...字符串
由於 equalsIgnoreCase() 會更改與Character.toLowerCase() 和Character.toUpperCase() 相似的內容，因此能夠防止此問題。這涉及到使用來自UnicodeData 文件（由 Unicode 聯盟維護的 Unicode 字符數據庫的一部分）的信息建立這兩種字符串的臨時標準格式。即便這可能會致使這些字符在被讀取時以不可讀的方式呈現出來，但卻可以在獨立於區域設置的狀況下進行比較。input
1.3、預防該漏洞的開發規範：
1、請始終確保指定默認區域設置，或者指定能夠接受這些字符（如toUpperCase()）並帶有 API 的區域設置。