Middle+

Er is een systeem dat gebruikers de mogelijkheid biedt om met bestanden in de browser te werken. De stack is standaard: Java, Spring, React, Postgres. Bestanden worden opgeslagen in het bestandssysteem op de backend, metadata van bestanden in de database. Het team heeft een functie geïmplementeerd: het hernoemen van een bestand. Deze methode is essentieel voor het hernoemen van een bestand op de backend. Er moet een review worden uitgevoerd om potentiële problemen in de bestaande code te identificeren en oplossingen voor te stellen. @Transactional public void process(String oldName, String newName) { Long id = exec("select id from file where name='" + oldName + "'"); processFile(oldName, newName); // hernoemen van het bestand op de schijf exec("update file set name='" + newName + "' where id = " + id); }

Bedrijven waar gevraagd werd

СБЕР

Antwoord van AI

sobes.tech AI

В представленном методе есть несколько проблем:

SQL-инъекция: Использование конкатенации строк для формирования SQL-запросов ("select id from file where name='" + oldName + "'") уязвимо для SQL-инъекций.
Отсутствие обработки ошибок: Если файл с именем oldName не найден, метод exec может вернуть null или вызвать ошибку, что не обрабатывается.
Потенциальная рассинхронизация: Переименование файла на диске и обновление записи в БД не атомарны, несмотря на аннотацию @Transactional, так как файловая система не участвует в транзакции БД.
Отсутствие проверки успешности переименования файла: Если processFile не сработает, база данных уже будет обновлена, что приведет к рассинхронизации.
Небезопасное обновление имени файла: Нет проверки, что newName не конфликтует с уже существующими именами.

Рекомендации по исправлению:

Использовать параметризованные запросы или ORM (например, JPA) для безопасного доступа к базе.
Добавить проверку существования файла и обработку ошибок.
Сделать переименование файла и обновление БД атомарными с помощью механизма компенсации или отложенного обновления.
Проверять, что новое имя не занято.
Логировать операции и ошибки.

Пример исправленного кода с использованием JPA и обработки ошибок:

@Transactional
public void process(String oldName, String newName) {
    Optional<FileEntity> fileOpt = fileRepository.findByName(oldName);
    if (!fileOpt.isPresent()) {
        throw new FileNotFoundException("File with name " + oldName + " not found");
    }
    if (fileRepository.existsByName(newName)) {
        throw new IllegalArgumentException("File name " + newName + " already exists");
    }
    FileEntity file = fileOpt.get();
    try {
        processFile(oldName, newName); // переименование на диске
    } catch (IOException e) {
        throw new RuntimeException("Failed to rename file on disk", e);
    }
    file.setName(newName);
    fileRepository.save(file);
}

Такой подход повышает безопасность и надежность операции.

Vorige Volgende