Java文件流资源释放及Veracode CWE-404漏洞报错问题咨询

• 异常阻断导致资源未释放：你当前在finally块中将两个Channel的关闭逻辑放在同一个try代码块中，若inChannel.close()执行时抛出IOException，程序会直接跳转至对应的catch块，outChannel.close()将不会执行，关联的FileOutputStream资源直接泄漏，这是Veracode报CWE-404的核心触发点。
• 临时流对象泄漏窗口：new FileInputStream(source)).getChannel() 这类写法存在泄漏风险：如果FileInputStream实例化成功，但调用getChannel()时抛出异常，已经创建的流实例没有被任何变量持有，无法被关闭，直接造成资源泄漏。
• 静态扫描规则适配问题：虽然Java规范规定关闭Channel会自动关闭关联的底层文件流，但Veracode这类静态扫描工具的规则通常会判定间接关联的资源释放逻辑不可靠，需要显式管理流的生命周期。

方案1：兼容Java 6及更早版本的手动修复 #

调整资源声明顺序、拆分关闭逻辑的try块，避免异常阻断，同时显式持有流实例保证可被关闭：

public static boolean nioCopy(File source, File destination) {
    boolean retval = false;
    FileInputStream fis = null;
    FileOutputStream fos = null;
    FileChannel inChannel = null, outChannel = null;
    final long WINDOWS_MAGIC_BUFFER_SIZE = 1024 * 1024 * 64; // 示例值，按需保留原有定义
    
    try {
        fis = new FileInputStream(source);
        inChannel = fis.getChannel();
        fos = new FileOutputStream(destination);
        outChannel = fos.getChannel();
        
        long size = inChannel.size();
        long position = 0;
        while (position < size) {
            position += inChannel.transferTo(position, WINDOWS_MAGIC_BUFFER_SIZE, outChannel);
        }
        retval = true;
    } catch (FileNotFoundException e) {
        e.printStackTrace();
        retval = false;
    } catch (IOException e) {
        e.printStackTrace();
        retval = false;
    } finally {
        // 每个资源关闭单独套try块，避免互相影响
        try {
            if (inChannel != null) {
                inChannel.close();
            }
        } catch (IOException e) {
            e.printStackTrace();
        }
        try {
            if (fis != null) {
                fis.close();
            }
        } catch (IOException e) {
            e.printStackTrace();
        }
        try {
            if (outChannel != null) {
                outChannel.close();
            }
        } catch (IOException e) {
            e.printStackTrace();
        }
        try {
            if (fos != null) {
                fos.close();
            }
        } catch (IOException e) {
            e.printStackTrace();
        }
    }
    
    return retval;
}

方案2：Java 7+ 推荐try-with-resources写法 #

try-with-resources会自动按声明逆序关闭所有实现AutoCloseable接口的资源，无需手动写finally块，也不会出现异常阻断问题，完全规避资源泄漏风险，扫描工具也不会误报：

public static boolean nioCopy(File source, File destination) {
    boolean retval = false;
    final long WINDOWS_MAGIC_BUFFER_SIZE = 1024 * 1024 * 64; // 示例值，按需保留原有定义

    // 资源在try括号内声明，自动处理关闭
    try (FileInputStream fis = new FileInputStream(source);
         FileChannel inChannel = fis.getChannel();
         FileOutputStream fos = new FileOutputStream(destination);
         FileChannel outChannel = fos.getChannel()) {
        
        long size = inChannel.size();
        long position = 0;
        while (position < size) {
            position += inChannel.transferTo(position, WINDOWS_MAGIC_BUFFER_SIZE, outChannel);
        }
        retval = true;
    } catch (FileNotFoundException e) {
        e.printStackTrace();
        retval = false;
    } catch (IOException e) {
        e.printStackTrace();
        retval = false;
    }

    return retval;
}

内容的提问来源于stack exchange，提问作者Jonathan Hagen