item 50 leekyunghee - JAVA-JIKIMI/EFFECTIVE-JAVA3 GitHub Wiki

방어적 복사란?

어떤 클래스의 메서드에서 클래스의 멤버 변수(객체)에 값을 쓰거나 가져올 때 복사본을 만들어서 get/set 을 사용하는 것이다.

예를 들어서 get/set 메서드일 뿐 다른 메서드도 멤버 변수에 접근한다면 복사본을 만들 필요가 있다.)

• 중요한 것은 파라미터의 유효성을 검사하기 전에 방어적 복사본을 만들고 이 복사본으로 유효성을 검사해야한다.

적시에 방어적 복사본을 만들라

• 자바는 C나 C++에 비해 메모리 충돌 오류에서 안전하다.
• 자바로 작성한 클래스는 시스템의 다른 부분에서 무슨 짓을 하든 그 불변식 이 지켜진다.

다른 클래스로부터 침법을 막기위해 방어적으로 프로그래밍해야 한다.

• 아무리 자바라 해도 다른 클래스로부터 침범을 아무런 노력 없이 다 막을 수 있는 건 아니다.
• 어떤 객체든 그 객체의 허락 없이는 외부에서 내부를 수정하는 일은 불가능하다. 하지만 주의를 기울이지 않으면 자기도 모르게 내부를 수정하도록 허락하는 경우가 생긴다.

기간을 포현하는 클래스

• Date가 가변이라는 사실을 이용하면 불변식을 깨뜨릴 수 있다.

// 코드 50-1 기간을 표현하는 클래스 - 불변식을 지키지 못했다. (302-305쪽)
public final class Period {
    private final Date start;
    private final Date end;

    /**
     * @param  start 시작 시각
     * @param  end 종료 시각. 시작 시각보다 뒤여야 한다.
     * @throws IllegalArgumentException 시작 시각이 종료 시각보다 늦을 때 발생한다.
     * @throws NullPointerException start나 end가 null이면 발생한다.
     */
    public Period(Date start, Date end) {
        if (start.compareTo(end) > 0)
            throw new IllegalArgumentException(
                    start + "가 " + end + "보다 늦다.");
        this.start = start;
        this.end   = end;
    }

    public Date start() {
        return start;
    }
    public Date end() {
        return end;
    }

    public String toString() {
        return start + " - " + end;
    }
}

자바 8 이후로는 쉽게 해결 가능

// 코드 50-2 Period 인스턴스의 내부를 공격해보자. (303쪽)
        Date start = new Date();
        Date end = new Date();
        Period p = new Period(start, end);
        end.setYear(78);  // p의 내부를 변경했다!
        System.out.println(p);

• Date 대신 불변인 Instant를 사용하면 된다. (혹은 LocalTime이나 ZoneDateTIme을 사용해도 된다)
• Date는 낡은 API이니 새로운 코드를 작성할 때는 더 이상 하용하면 안된다.
• 하지만 앞으로 쓰지 않는다고 이 문제에서 해방되는 건 아니다. (내부 구현에 가변인 낡은 값 타입을 사용하던 잔재가 남아있다.)
• 외부 공격으로부터 Period 인스턴스의 내부를 보호하려면 생성자에서 받은 가변 매개변수 각각을 방어적으로 복사(defensive copy) 해야 한다.
• Period 인스턴스 안에서는 원본이 아닌 복사본을 사용해야 한다.

// 새로 작성한 생성자를 사용하면 앞서의 공격은 더 이상 Period에 위협이 되지 않는다. 
// 매개변수의 유효성 검사하기 전에 방어적 복사본을 만들고 이 복사본으로 유효성 검사를 한다. 
코드 50-3 수정한 생성자 - 매개변수의 방어적 복사본을 만든다. (304쪽)
    public Period(Date start, Date end) {
        this.start = new Date(start.getTime());
        this.end   = new Date(end.getTime());

        if (this.start.compareTo(this.end) > 0)
            throw new IllegalArgumentException(
                    this.start + "가 " + this.end + "보다 늦다.");
    }

• 방어적 복사에 Date의 clone 메서드를 사용하지 않은 점에도 주목하자.
• Date는 final이 아니므로 clone이 Date가 정의한 게 아닐 수 있다.

매개변수가 제3자에 의해 확장될 수 있는 타입이라면 방어적 복사본을 만들 때 clone을 사용해서는 안 된다.

생성자를 수정하면 앞서의 공격은 막아낼 수 있지만 Period 인스턴스는 아직도 변경 가능하다. (접근자 메서드가 내부의 가변 정보를 직접 드러내기 때문이다.

생성자를 수정하면 앞서의 공격은 막아낼 수 있지만 Period 인스턴스는 아직도 변경 가능하다. 접근자 메서드가 내부의 가변 정보를 직접 드러내기 때문이다.

두번째 공격을 막아내려면 단순히 접근자가 가변 필드의 방어적 복사본을 반환하면 된다.

// '불변'인 Period의 내부를 공격하는 두 가지 예 (303-305쪽)
public class Attacks {
    public static void main(String[] args) {
        // 코드 50-4 Period 인스턴스를 향한 두 번째 공격 (305쪽)
        start = new Date();
        end = new Date();
        p = new Period(start, end);
        p.end().setYear(78);  // p의 내부를 변경했다!
        System.out.println(p);
    }
}

// 수정한 접근자 - 필드의 방어적 복사본을 반환한다. 
// 새로운 접근자까지 갖추면 Period는 완벽한 불변으로 거듭난다. 
// 시작 시각이 종료 시각보다 나중일 수 없다는 불변식을 위배할 방법은 없다. 
// Period 자신 말고는 가변 필드에 접근할 방법이 없으니 확실하다. 
> 모든 필드가 객체 안에 완벽하게 캡슐화되었다. 
    public Date start() {
        return new Date(start.getTime());
    ]
    public Date end() {
        return new Date(end.getTime());
    }

• 생성자와 달리 접근자 메서드는 방어적 복사에 clone을 사용해도 된다.
• Period가 가지고 있는 Date 객체는 java.util.Date임이 확실하기 때문이다. (신뢰할 수 없는 하위 클래스가 아니다) 그렇더라도 아이템 13(clone 재정의는 주의해서 사용하라)에서 설명한 이유 때문에 인스턴스를 복사하는 데는 일반적으로 생성자나 정적 팩터리를 쓰는게 좋다.
• 방어적 복사에는 성능 저하가 따르고 또 항상 쓸 수 있는 것도 아니다.
• (같은 패키지에 속하는 등의 이유로) 호출자가 컴포넌트 내부를 수정하지 않으리라 확신하면 방어적 복사를 생략할 수 있다.
• 이러한 상황이라도 호출자에서 해당 매개변수나 반환값을 수정하지 말아야 함을 명확히 문서화하는 게 좋다.

핵심 정리

클래스가 클라이언트로부터 받는 혹은 클라이언트로 반환하는 구성요소가 가변이라면 그 요소는 반드시 방어적으로 복사해야 한다.