继续对Fortify的漏洞进行总结，本篇主要针对 Portability Flaw: Locale Dependent Comparison 漏洞进行总结，以下：java
1、Portability Flaw: Locale Dependent Comparison
1.1、产生缘由：
对可能与区域设置相关的数据进行比较时，应指定相应的区域设置。数据库
示例 1：如下示例尝试执行验证，以肯定用户输入是否包含 <script> 标签。函数
...
public String tagProcessor(String tag){
if (tag.toUpperCase().equals("SCRIPT")){
return null;
}
//does not contain SCRIPT tag, keep processing input
...
}
...spa
关于上述代码的问题是：在使用不带区域设置的java.lang.String.toUpperCase() 时，其将使用默认的区域设置规则。使用土耳其区域设置"title".toUpperCase() 时将返回 "T\u0130TLE"，其中 "\u0130" 是 "LATIN CAPITAL LETTER I WITH DOT ABOVE" 字符。这会致使生成意外结果，例如，在示例 1 中，会致使此验证没法捕获 "script" 一词，从而可能形成跨站脚本攻击漏洞。code
1.2、修复方案：
为了防止出现此问题，请始终确保指定默认区域设置，或者指定能够接受这些字符（如toUpperCase()）并带有 API 的区域设置。ip
示例 2:如下示例经过手动方式将区域设置指定为 toUpperCase() 的参数。ci
import java.util.Locale;
...
public String tagProcessor(String tag){
if (tag.toUpperCase(Locale.ENGLISH).equals("SCRIPT")){
return null;
}
//does not contain SCRIPT tag, keep processing input
...
}
...开发
示例 3：如下示例使用了函数java.lang.String.equalsIgnoreCase() API 以防止出现此问题。
...
public String tagProcessor(String tag){
if (tag.equalsIgnoreCase("SCRIPT")){
return null;
}
//does not contain SCRIPT tag, keep processing input
...
}
...字符串
由于 equalsIgnoreCase() 会更改与Character.toLowerCase() 和Character.toUpperCase() 相似的内容，因此能够防止此问题。这涉及到使用来自UnicodeData 文件（由 Unicode 联盟维护的 Unicode 字符数据库的一部分）的信息建立这两种字符串的临时标准格式。即便这可能会致使这些字符在被读取时以不可读的方式呈现出来，但却可以在独立于区域设置的状况下进行比较。input
1.3、预防该漏洞的开发规范：
1、请始终确保指定默认区域设置，或者指定能够接受这些字符（如toUpperCase()）并带有 API 的区域设置。