こんにちは。itouです。
皆さんは、J2EEでWebシステム開発するに当たり、Servletがマルチスレッドモデルなのかシングルスレッドモデルなのかというのを意識されることがありますでしょうか？
今回、マルチスレッドモデルを意識することがありましたので公開いたします。
私は、J2EEのシステムのソースコードについてセキュリティチェックツールをかけ
指摘の箇所について、修正を行うという案件に携わりました。
そこで、インスタンス変数の宣言について指摘を受けました。
下記の、どこが問題でしょうか？
public class Sample extends HttpServlet {
private String entriedNumber = “”;
//POSTされた
protected void doPost (HttpServletRequest req,HttpServletResponse res) {
//①パラメータより登録番号を取得
entriedNumber = req.getParameter(“entriedNumber”);
(省略)
//②登録番号を標準出力に出力
System.out.println(entriedNumber);
}
}
指摘の内容としては、「private String entriedNumber = “”;」が複数のスレッドで共有されているから問題だという指摘でした。
複数スレッドで、処理の追い越しが発生した場合、不正に上書きされてしまうというのです。
ためしに、①②の間に、スレッドの追い越しを発生させました。
————————————————————–
スレッド１:①で登録番号100を取得し、entriedNumberに設定(100)
スレッド２:②で登録番号200を取得し、entriedNumberに設定(200)
スレッド２:entriedNumber(200)が標準出力に出力
スレッド１:entriedNumber(200)が標準出力に出力
————————————————————–
スレッド１で設定した登録番号が、スレッド2により上書きされてしまいました。
Servletは、指定しない限りマルチスレッドで動作するということなので、注意が必要です。
この場合、どうすべきであったか。
下記のように、ローカル変数を使用した場合は、スレッド単位で値が保持されるので、問題になりません。
public class Sample extends HttpServlet {
//POSTされた
protected void doPost (HttpServletRequest req,HttpServletResponse res) {
String entriedNumber = “”;
//①パラメータより登録番号を取得
entriedNumber = req.getParameter(“entriedNumber”);
(省略)
//②登録番号を標準出力に出力
System.out.println(entriedNumber);
}
}
こういった内容は、普段はあまり意識しなくても、「通常は、正常に動いてしまう」ものなので注意が必要です。
Servlet開発者が正しい知識をもつ、あるいは、自動コードチェックで検出するなどをしていく必要があるでしょう。
