Stack Overflow 有害吗？复制粘贴对 Android 应用安全的影响
密码学与安全
2017-10-10 v1
摘要
诸如 Stack Overflow 之类的在线编程讨论平台为软件开发者提供了丰富的信息源。可用的信息包括活跃的讨论以及通常可直接使用的代码片段。有传闻称软件开发者出于方便的原因，会从这些信息源复制和粘贴代码片段。这种行为导致社区提供的代码片段不断流入生产软件中。迄今为止，这种行为对代码安全的影响尚不明确。我们通过量化 Google Play 上可用的 Android 应用中来自 Stack Overflow 的安全相关代码片段的扩散情况，回答了这个高度重要的问题。获取 Stack Overflow 上包含可直接使用的代码片段在内的丰富信息源为软件开发者带来了巨大便利。然而，在代码安全方面有一些需要注意的陷阱：由于代码安全的复杂性，很难为每个问题提供可直接使用且安全的解决方案。因此，将来自 Stack Overflow 的安全相关代码片段集成到生产软件中需要谨慎和专业知识。毫不意外地，我们观察到不安全的代码片段被复制到数百万用户每天从 Google Play 安装的 Android 应用中。为了定量评估这一观察结果的波及范围，我们扫描了 Stack Overflow 上的代码片段，并使用随机梯度下降分类器评估了它们的安全得分。为了识别 Android 应用中的代码重用，我们应用了最先进的静态分析。我们的结果令人警醒：在我们分析的 130 万个 Android 应用中，有 15.4% 包含了来自 Stack Overflow 的安全相关代码片段。其中 97.9% 至少包含一个不安全的代码片段。
引用
@article{arxiv.1710.03135,
title = {Stack Overflow Considered Harmful? The Impact of Copy&Paste on Android Application Security},
author = {Felix Fischer and Konstantin Böttinger and Huang Xiao and Christian Stransky and Yasemin Acar and Michael Backes and Sascha Fahl},
journal= {arXiv preprint arXiv:1710.03135},
year = {2017}
}