[发明专利]在静态代码扫描中进行密码安全检测的方法、装置和存储介质

说明书

本公开涉及在静态代码扫描中进行密码安全检测的方法、装置和存储介质。在静态代码扫描中进行密码安全检测的方法例如可以包括：对源代码进行语义分析以获得源代码和相应的配置文件中的常量和变量；确定获得的常量是否被用作为密码；以及通过和密码变量/方法库进行匹配，确定获得的变量是否是与密码相关的参数或方法。

技术领域

本公开总体上涉及计算机安全领域，并且更具体地涉及在静态代码扫描中进行密码安全检测的方法、装置和存储介质。

背景技术

在源代码中，进行硬编码密码，也就是直接使用明文密码，会使得代码出现安全隐患。有权访问该代码的任何人都能得到这个密码。一旦程序发布，如果攻击者能够访问应用程序的字节代码，那么他们就可以利用反汇编的代码，直接获取密码。

静态代码扫描能够通过扫描源代码，较为方便地找出这种在代码中进行不安全的密码设置的行为，从而提高代码安全性。

在现有技术中，在当前静态代码扫描中进行密码安全检测时，由于只检测特定变量而存在漏报，并且提供的信息不够详细的问题。

例如，图1示出了现有的静态检测密码安全性方法。在该方法中，只会对代码中出现的“password”值做匹配检测，即，通过判断这一变量是否为“password”来判断是否存在密码。用于检测类似的password变量，较为简单，如下所示。

public String bad(){

String password＝“password”；//差

return password；}

因此，现有技术中需要一种改进的技术用来发现源代码中由硬编码密码带来的密码安全问题，从而达到在源代码阶段就解决密码安全问题的目的。

发明内容

在下文中给出了关于本公开的简要概述，以便提供关于本公开的一些方面的基本理解。但是，应当理解，这个概述并不是关于本公开的穷举性概述。它并不是意图用来确定本公开的关键性部分或重要部分，也不是意图用来限定本公开的范围。其目的仅仅是以简化的形式给出关于本公开的某些概念，以此作为稍后给出的更详细描述的前序。

在源代码中，进行硬编码密码，也就是直接使用明文密码，会使得代码出现安全隐患。有权访问该代码的任何人都能得到这个密码。一旦程序发布，如果攻击者能够访问应用程序的字节代码，那么他们就可以利用反汇编的代码，直接获取密码。

静态代码扫描能够通过扫描源代码，较为方便地找出这种在代码中进行不安全的密码设置的行为，从而提高代码安全性。

本发明改进了当前静态代码扫描中进行密码安全检测时，由于只检测特定变量而存在漏报，并且提供的信息不够详细的问题，发现源代码中由硬编码密码带来的密码安全问题，从而达到在源代码阶段就解决密码安全问题的目的。

根据本公开的一个方面，提供一种在静态代码扫描中进行密码安全检测的方法，包括：对源代码进行语义分析以获得源代码和相应的配置文件中的常量和变量；确定获得的常量是否被用作为密码；以及通过和密码变量/方法库进行匹配，确定获得的变量是否是与密码相关的参数或方法。

根据本公开的另一个方面，提供一种在静态代码扫描中进行密码安全检测的装置，包括：存储器，其上存储有指令；以及处理器，被配置为执行存储在所述存储器上的指令，以执行根据本公开的上述方面所述的方法。。

根据本公开的又一个方面，提供一种计算机可读存储介质，其包括计算机可执行指令，所述计算机可执行指令在由一个或多个处理器执行时，使得所述一个或多个处理器执行根据本公开的上述方面所述的方法。

附图说明

构成说明书的一部分的附图描述了本公开的实施例，并且连同说明书一起用于解释本公开的原理。