第24章 安全会议 (第2/3页)

报上来的3月份月度总结报告。随后用老周提供的主管理员账号登录了服务器后台管理系统和git代码仓库。

    越查，陈默越是气愤。不是没有问题，而是问题太多。距离集团要求的六月底，满打满算还有三个月，可是至少要提前半个月到一个月，部署到一个车流量少的收费站点做试运行吧。可陈默看到的结果，可以明确的说，基本是不可能的了。

    数据库没有索引。一个简单的查询都需要走全表扫描，每次都要把整张表读进内存。

    与外部公网IP的通讯依然时有出现，年前的事看来并没有得到彻底解决。

    应用系统日志里，ERROR级别的日志密密麻麻，像一群蚂蚁在屏幕上爬行。

    扣费模块里存在着空指针异常。

    计费模块，频繁的创建对象，还不及时释放，导致内存溢出现象频发。

    查询日志里，每条查询都要在3秒以上，很明显，都是索引的锅。

    bug管理系统，登记的七百多条bug，没有一条修改记录。

    代码仓库里，陈默随机下载了几个文件，满屏的所有数据库操作都写在Servlet的doPost方法里，没有分层，没有事务管理，SQL语句用字符串拼接，用户输入的参数直接拼进SQL里。

    “用最简单的SQL注入就可以攻击。”陈默嘀咕着，“稍微懂一点技术的人，就可以篡改交易金额。”

    再查看数据库表结构。表名是拼音缩写，字段名也是拼音，没有任何注释。有一个字段叫“je“，陈默猜了一会，才知道是‘金额’。字段类型是VARCHAR，长度五十。金额数据竟然用字符串类型存，也只是活见鬼了。怎么做数值计算？怎么做精度校验？继续查看相应的代码文件，进一步发现在计算的时候，使用Double.parseDouble进行类型转换。难道智通科技的研发人员就没考虑Double的精度问题吗？大学时候就学过的知识点，为什么在如此重要的系统里却忘记了呢？每次转换相差一分钱两分钱，积少成多，几千万笔交易，最终差额有多大？

    陈默把自己弄郁闷了。

    他把这些日志和问题做了分类整理，用Excel做了一个表格。四列：问题类型、问题描述、影响范围、严重程度。

    不到一个小时，他就写了四十七条，写完第四十八条的时候，他犹豫了：

    ‘数据同步至外部服务器，违反数据安全规定，存在数据泄露风险。’

    写还是不写？如果不写，一旦后续被集团或省厅发现，就是个大雷。如果写了，自己又不在项目组了，事后张国华、王虹等人会不会迁怒到自己头上？

    看了眼时间，马上下班了。陈默保存好文件，该截图的截图、该下载原始文件的下载原始文件，一并拷贝到自己的U盘里，随后关闭了文件，并退出了服务器。

    做完这一切的陈默，坐在椅子上，一边用手按着自己的太阳穴，一边思索着如何

    （本章未完，请点击下一页继续阅读）

『加入书签，方便阅读』