繼續對Fortify的漏洞進行總結，本篇主要針對 Portability Flaw: Locale Dependent Comparison 漏洞進行總結，如下：
1、Portability Flaw: Locale Dependent Comparison
1.1、產生原因：
對可能與區域設置相關的數據進行比較時，應指定相應的區域設置。
示例 1：以下示例嘗試執行驗證，以確定用戶輸入是否包含 <script> 標簽。
...
public String tagProcessor(String tag){
if (tag.toUpperCase().equals("SCRIPT")){
return null;
}
//does not contain SCRIPT tag, keep processing input
...
}
...
關於上述代碼的問題是：在使用不帶區域設置的java.lang.String.toUpperCase() 時，其將使用默認的區域設置規則。使用土耳其區域設置"title".toUpperCase() 時將返回 "T\u0130TLE"，其中 "\u0130" 是 "LATIN CAPITAL LETTER I WITH DOT ABOVE" 字符。這會導致生成意外結果，例如，在示例 1 中，會導致此驗證無法捕獲 "script" 一詞，從而可能造成跨站腳本攻擊漏洞。
1.2、修復方案：
為了防止出現此問題，請始終確保指定默認區域設置，或者指定可以接受這些字符（如toUpperCase()）並帶有 API 的區域設置。
示例 2:以下示例通過手動方式將區域設置指定為 toUpperCase() 的參數。
import java.util.Locale;
...
public String tagProcessor(String tag){
if (tag.toUpperCase(Locale.ENGLISH).equals("SCRIPT")){
return null;
}
//does not contain SCRIPT tag, keep processing input
...
}
...
示例 3：以下示例使用了函數java.lang.String.equalsIgnoreCase() API 以防止出現此問題。
...
public String tagProcessor(String tag){
if (tag.equalsIgnoreCase("SCRIPT")){
return null;
}
//does not contain SCRIPT tag, keep processing input
...
}
...
因為 equalsIgnoreCase() 會更改與Character.toLowerCase() 和Character.toUpperCase() 類似的內容，所以可以防止此問題。這涉及到使用來自UnicodeData 文件（由 Unicode 聯盟維護的 Unicode 字符數據庫的一部分）的信息創建這兩種字符串的臨時標准格式。即使這可能會導致這些字符在被讀取時以不可讀的方式呈現出來，但卻能夠在獨立於區域設置的情況下進行比較。
1.3、預防該漏洞的開發規范：
1、請始終確保指定默認區域設置，或者指定可以接受這些字符（如toUpperCase()）並帶有 API 的區域設置。