如果你是一位靠 .NET、C 、Java、JavaScript、PHP 或 Python 用餐的开发人员，那要注意了：一项新科学研究揭露了这种计算机语言的关键安全性漏洞。
静态数据编码剖析安全性企业 Veracode 最近公布了这种语言表达的漏洞种类数据，这也是该企业扫描仪了 13 万应用程序的安全隐患后取得的汇报。
该企业调查了用 .NET、C 、Java、JavaScript、PHP 或 Python 撰写的应用程序的漏洞发展趋势。这种数据融合在 Veracode 的《软件安全状态第 11 卷(State of Software Security Volume 11)》汇报中：https://www.veracode.com/sites/default/files/pdf/resources/ipapers/security-flaw-heatmap/index.html。
Veracode 扫描仪 13 万只应用程序后取得的漏洞种类数据。
针对最经常使用的网页开发语言表达 JavaScript，Veracode 发觉 31.5% 的运用最少有一个跨站脚本制作(XSS)漏洞，而用 PHP 写的运用中有 74.6% 最少有一个 XSS 漏洞。除此之外，71% 的 PHP 运用存有数据加密问题。
针对用 .NET 写的运用，最首要的问题是数据泄露——62.8% 的 .NET 运用存有该问题。C 运用较大的问题是处理错误，占到了 66.5%。
对于 Java 运用，主要问题是 CRLF 引入(回车键或自动换行引入)，占受调研运用的 64.4%。Python 应用中最明显的安全隐患与数据加密有关，发生在 35% 的受调研运用中。
每一种语言表达的漏洞严重后果也具有较大区别。Veracode 发觉用 C 写的运用中有 59% 存有十分明显的漏洞;而针对 PHP，这一数据为 52%。可是，用 JavaScript 写的运用仅有 9.6% 有特别明显的漏洞，Java 运用的数据为 24%。
Veracode 总裁科学研究官 Chris Eng 表述了不一样语言表达漏洞发展趋势不一样的缘故，及其如何修复他们以防止严重损失。
「从总体数据上看，大家这种领域以往十年来未能清除一切一种漏洞类型。」Eng 说，「没有问题彻底消退。许多事都是在起伏，但看一下均值状况，你就会发现相较于其他指标值，这种数据更能体现语言转换和语言表达时兴水平的转变。大家见到 C 普遍的缓存溢出问题有下滑的发展趋势，但这并没有由于开发人员解决这种问题的水平更强了，反而是由于应用 C 开展开发设计的人减少了。」
另一方面，危害 JavaScript 和 Python 的问题则有一定的提高，缘故是这2种语言表达如今十分时兴。在公司方面上，Java 和 .NET 仍然备受欢迎。
PHP 依然是网页页面应用程序开发最经常使用的开发语言之一，但 Eng 强调 PHP 漏洞总数更高一些的因素是该语言给予了很多不安全的原语及其很多不正确开发设计的方法。
「有一些语言表达会竭尽全力防止开发人员考虑不周全而把事儿搞砸了，.NET 便是在其中最初的语言表达之一。」Eng 表述说，「对比于应用 PHP，使用 .NET 时，你就会发现很多 API 都是有更可靠的默认，促使发生跨站脚本错误或 SQL 引入不正确会艰难得多。在 PHP 中，这种不正确几乎是初始的——除非是你正好在应用一种能给大家带来大量维护的更当代架构。应用 PHP 出差错的情形确实太多了。」
Veracode 在其研究的 JavaScript 运用中发觉的漏洞远远地更少，但即使 JavaScript 有更可靠的默认，巨大的 npm 生态体系中的 JavaScript 和 node.js 开源项目库是不确定性的薄弱点。
「即使你能修补自身写的编码中的全部漏洞，你采用的第三方软件库仍会产生众多变化。」Eng 说，「修复漏洞事实上并不如你期待的这么好。如今的发展趋势是开发人员在须要时才会去免费下载这种软件库的最新版，随后她们就再也不升级了，除非是这一软件库又提高了哪些新作用。」
工程项目开发设计和商品精英团队应当怎样减少为重要应用程序修复漏洞的繁琐和成本费?Eng 的提议是维持升级而且清楚地追踪搭建运用的技术性和安全性成本费随時间的转变状况。在某一時间，该运用将必须获得恢复或修复漏洞，主要包括语言表达升级和重要软件库的补丁包。
Eng 说：「如果我现在在应用 4.5 版，而 4.6 版早已出来，我能应用该补丁包，与此同时几乎不易造成作用领域的危害。开源项目库不容易在小版本升级中对软件库开展重要改动。但倘若你如今应用的是 2.0 版，那麼就务必得升级到 4.6 版，这一流程会很痛楚」。
针对应用巨大 npm 生态体系的 JavaScript 而言，升级软件库这个问题很有可能会更比较严重一点，但 Java 和 Python 都是有自己的大中型生态体系：Maven 和 PyPI。
Eng 表明 JavaScript 运用均值有大概 400 个相互依赖。假如看来第 90 百分位数的 JavaScript 应用程序，他们的相互依赖总数可达 1000 或 2000 个。
运用安全性企业 Snyk 曾表述说危害 JavaScript、Ruby、Java、PHP 和 Python 的大部分安全性漏洞都源于新项目中载入的关键部件间的间接性相互依赖。
也有一点，一些 JavaScript 软件库十分受大家喜爱，高达 80%-90% 的 JavaScript 运用在使用他们。
Eng 说：「只需这种程序包中某一个包里有一个漏洞，你也就承继了该风险性。并且这不只是安全隐患。」
他指的是 JavaScript 软件库 left-pad 曾产生过的状况：2016 年的一场吵架以后，一个开发人员将该软件库移出来了 npm。
「它从 GitHub 上消失了，随后忽然间，三分之二的互联网技术崩溃了，由于他们统统依靠这一几行编码的软件库来明确一个数是不是在左边添充了零。」
全文连接：
https://www.zdnet.com/article/programming-language-security-these-are-the-worst-bugs-for-each-top-language/
【文中是51CTO栏目组织“机器之心”的原创设计译文翻译，微信公众平台“机器之心( id: almosthuman2014)”】
戳这儿，看该创作者大量好文章