午後I 問1 Webアプリケーションプログラム開発

テーマ：Webアプリケーションプログラム開発

左右2分割表示：左側の問題文をスクロールしながら右側の設問に解答できます

長文事例本文

図表クリックで拡大

G社は，システム開発を行う従業員100名のSI企業である。このたび，オフィス用品を販売する従業員200名のY社から，システム開発を受託した。開発プロジェクトのリーダーには，G社の開発課のD主任が任命され，メンバーには，開発課から，Eさんと新人のFさんが任命された。G社では，セキュリティの品質を担保するために，プログラミング完了後にツールによるソースコードの静的解析を実施することにしている。

〔受託したシステムの概要〕
受託したシステムには，Y社の得意先がオフィス用品を注文する機能，Y社とY社の得意先が注文履歴を表示させる機能，Y社とY社の得意先が注文番号を基に注文情報を照会する機能（以下，注文情報照会機能という），Y社とY社の得意先が納品書のPDFファイルをダウンロードする機能などがある。

〔ツールによるソースコードの静的解析〕
プログラミングが完了し，ツールによるソースコードの静的解析を実施したところ，Fさんが作成した納品書PDFダウンロードクラスのソースコードに問題があることが分かった。納品書PDFダウンロードクラスのソースコードを図1に，静的解析の結果を表1に示す。

 拡大
図1 納品書 PDF ダウンロードクラスのソースコード

 拡大
表1 静的解析の結果

この解析結果を受けて，Fさんは，Eさんの指導の下，ソースコードを修正した。表1の項番1について図1の8行目から11行目を図2に示すソースコードに修正した。項番2と項番3についてもソースコードを修正した。

 拡大
図2 納品書 PDF ダウンロードクラスの修正後のソースコード

再度，ツールによるソースコードの静的解析が実施され，表1の指摘は解消していることが確認された。

〔システムテスト〕
システムテストを開始したところ，注文情報照会機能において不具合が見つかった。この不具合は，ある得意先の利用者IDでログインして画面から注文番号を入力すると，別の得意先の注文情報が出力されるというものであった。なお，ログイン処理時に，ログインした利用者IDと，利用者IDにひも付く得意先コード及び得意先名はセッションオブジェクトに保存されている。
注文情報照会機能には，業務処理を実行するクラス（以下，ビジネスロジッククラスという）及びリクエスト処理を実行するクラス（以下，サーブレットクラスという）が使用されている。注文情報照会機能が参照するデータベースのE-R図を図3に，Eさんが作成したビジネスロジッククラスのソースコードを図4に，サーブレットクラスのソースコードを図5に示す。

 拡大
図3 注文情報照会機能が参照するデータベースの E-R 図

 拡大
図4 ビジネスロジッククラスのソースコード

 拡大
図5 サーブレットクラスのソースコード

D主任，Eさん，Fさんは，不具合の原因が特定できず，セキュアプログラミングに詳しい技術課のHさんに協力を要請した。
Hさんはアプリケーションログ及びソースコードを解析し，不具合の原因を特定した。原因は，図4で変数eがfとして宣言されていることである。この不具合は，①並列動作する複数の処理が同一のリソースに同時にアクセスしたとき，想定外の処理結果が生じるものである。
原因を特定することができたので，Eさんは，Hさんの支援の下，次の4点を行った。

(1) 図4の2行目から5行目までのソースコードを削除する。
(2) 図4の6行目を，図6に示すソースコードに修正する。

 拡大
図6 ビジネスロジッククラスの修正後のソースコード

(3) 図5の4行目と5行目を，図7に示すソースコードに修正する。

 拡大
図7 サーブレットクラスの修正後のソースコード

(4) 保険的な対策として，図4の10行目の抽出条件に，セッションオブジェクトに保存されたjと注文ヘッダーテーブルのjの完全一致の条件をAND条件として追加する。

ソースコードの修正後，改めてシステムテストを実施した。システムテストの結果は良好であり，システムがリリースされた。