配列は Object.equals() メソッドをオーバーライドしない。つまり、equals() メソッドの実装は、配列の中身ではなく参照を比較する。2つの配列の中身を比較する場合は、2引数の Arrays.equals() メソッドを使わなくてはならない。あえて参照の等価性をチェックしたい場合は、等値演算子 == や != を使わなくてはならない。配列の equals() メソッドは予期せぬ結果を招くことがあるので、使うべきではない。

違反コード

以下の違反コード例は、2つの配列の比較に、間違って Object.equals() メソッドを使っている。

public void arrayEqualsExample(){
  int[] arr1 = new int[20]; // 0 で初期化
  int[] arr2 = new int[20]; // 0 で初期化
  arr1.equals(arr2); // false
}

適合コード

以下の適合コードでは、2つの配列の比較に2引数の Arrays.equals() メソッドを使っている。

public void arrayEqualsExample(){
  int[] arr1 = new int[20]; // 0 で初期化
  int[] arr2 = new int[20]; // 0 で初期化
  Arrays.equals(arr1, arr2); // true
}

リスク評価

配列の中身の比較に equals() メソッドや関係演算子を使うと、間違った結果が得られ、脆弱性につながる可能性がある。

ルール	深刻度	可能性	修正コスト	優先度	レベル
EXP02-J	低	高	低	P9	L2

自動検出

静的解析で Array.equals(...) の使用を検出するのは容易である。

関連ガイドライン

MITRE CWE

CWE-595. Comparison of Object References Instead of Object Contents

参考文献

[API 2006]

Class Arrays

翻訳元

これは以下のページを翻訳したものです。

EXP02-J. Use the two-argument Arrays.equals() method to compare the contents of arrays (revision 48)

Top へ