如何修复Fortify检测到的Race Condition:Format Flaw问题？

问题根源 #

你遇到的问题核心是SimpleDateFormat非线程安全——它的内部状态在执行format方法时会被修改，若多个线程共享同一个dateFormat实例，会触发竞态条件，导致格式化结果错误、抛出异常，这正是Fortify检测到的风险点。

解决方案 #

以下三种方案可彻底解决该问题，按推荐优先级排序：

1. 使用Java 8+线程安全的日期格式化类（最优解）

Java 8引入的DateTimeFormatter是不可变类，天生线程安全，搭配新日期API使用更可靠：

// 全局定义（线程安全，可共享）
private static final DateTimeFormatter DATE_TIME_FORMATTER = DateTimeFormatter.ofPattern("yyyy-MM-dd HH:mm:ss");

// 兼容旧Date类的格式化写法
Date date = new Date();
String formattedDate = DATE_TIME_FORMATTER.format(
    date.toInstant().atZone(ZoneId.systemDefault()).toLocalDateTime()
);
newDevice.setCreationDate(formattedDate);

// 直接使用新日期API的简洁写法
LocalDateTime now = LocalDateTime.now();
firstTrx.setTrxID(getSessionUser().getUserName() + now.format(DATE_TIME_FORMATTER));

2. 用ThreadLocal存储SimpleDateFormat实例

让每个线程持有独立的SimpleDateFormat实例，避免线程间共享冲突：

// 定义ThreadLocal，每个线程初始化自己的实例
private static final ThreadLocal<DateFormat> DATE_FORMAT_THREAD_LOCAL = ThreadLocal.withInitial(
    () -> new SimpleDateFormat("yyyy-MM-dd HH:mm:ss")
);

// 使用时获取当前线程专属的实例
Date date = new Date();
newDevice.setCreationDate(DATE_FORMAT_THREAD_LOCAL.get().format(date));
firstTrx.setTrxID(getSessionUser().getUserName() + DATE_FORMAT_THREAD_LOCAL.get().format(date));

这种方式兼顾性能与线程安全，适合无法升级到Java 8的场景。

3. 每次使用时创建新的SimpleDateFormat实例

最简单直接的方式，每次调用格式化方法时新建实例：

Date date = new Date();
newDevice.setCreationDate(new SimpleDateFormat("yyyy-MM-dd HH:mm:ss").format(date));
firstTrx.setTrxID(getSessionUser().getUserName() + new SimpleDateFormat("yyyy-MM-dd HH:mm:ss").format(date));

缺点是频繁创建对象会有轻微性能损耗，但在调用频率不高的场景下可忽略。

内容的提问来源于stack exchange，提问作者Murathan