Physical Address
304 North Cardinal St.
Dorchester Center, MA 02124
CAN CSA ISO IEC TR 24772-15：信息技术 — 编程语言脆弱性避免指南 — 第15部分
加拿大采纳的ISO/IEC技术报告：系统化避免特定语言编程脆弱性
1. 标准概况与适用范围
CAN CSA ISO IEC TR 24772-15 是加拿大标准协会（CSA）采纳的ISO/IEC技术报告系列《信息技术 — 编程语言脆弱性避免指南》的第15部分。该技术报告于2026年发布最新加拿大采纳版本，旨在为使用特定编程语言的开发人员、测试人员和安全审计员提供系统化的脆弱性识别与规避指南。该语言部分聚焦于较新的语言特性或特定应用领域（如基于第15部分覆盖的语言），帮助团队在开发全生命周期中避免可被利用的编程构造。
实用提示：尽管CAN CSA ISO IEC TR 24772-15 属于指导性技术报告（非强制标准），但它已被许多关键行业参考以补充安全编码规范。将其作为组织内部编码标准的基础可大幅降低常见的漏洞类型。
适用范围：本文件适用于使用该语言的软件架构师、开发者、代码审查者、测试人员以及负责安全合规的项目经理。尤其适用于安全关键系统（如航空、汽车、医疗设备）的软件开发，也适合通用应用中需要高可靠性的场景。
2. 主要技术内容与要求
脆弱性分类体系：CAN CSA ISO IEC TR 24772-15 继承了ISO/IEC TR 24772-1（语言无关部分）定义的通用脆弱性分类法。每个脆弱性被赋予唯一的标识号（例如“6.1 内存缓冲区操作”），本部分则将这些通用脆弱性映射到特定语言的具体构造上，并给出语言级别的示例、潜在风险以及推荐缓解措施。
下表列出了从该技术报告中提取的部分关键脆弱性分类及其在目标语言中的典型体现：
| 分类编号 | 脆弱性名称 | 描述 | 语言构造示例 | 规避策略 |
|---|---|---|---|---|
| 6.1 | 内存缓冲区操作 | 边界检查不充分导致的溢出或越界读写 | 数组索引未验证、字符串拼接未限制长度 | 使用安全库、边界检查函数或语言内置安全功能 |
| 6.2 | 不受控制的递归 | 递归深度过大导致堆栈耗尽或拒绝服务 | 递归调用终止条件不完善 | 引入递归深度限制、改为迭代实现 |
| 7.1 | 整数溢出与回绕 | 算术运算超出整数范围导致逻辑错误 | 加法、乘法等未进行范围检查 | 使用安全算术库或语言溢出检测特性 |
| 8.2 | 类型混淆 | 错误地假设对象类型而导致非预期行为 | 强制转换不当、联合体误用 | 利用强类型机制、避免不安全的转换操作 |
| 9.3 | 缺乏输入验证 | 未充分检查外部输入的数据可能导致注入攻击 | SQL注入、命令行注入 | 严格白名单验证、使用参数化查询 |
重要注意事项：许多开发人员容易混淆不同状态的变量（如未初始化与默认值）或忽略多线程环境下的数据竞争。技术报告中特别强调了对这些细微差别的处理，必须结合具体语言的内存模型进行分析。
安全关键要求：在涉及人身安全的系统中（例如遵循ISO 26262的开发项目），本脆弱性分类应视为强制性约束。所有识别出的脆弱性都必须经过评估并采取缓解措施，否则系统将无法通过安全论证。
3. 实施/应用要点
融入开发流程：组织可将本技术报告的脆弱性分类作为代码审查清单的核心内容。建议在需求阶段即识别可能引入的脆弱性分类，并在设计阶段选择相应的语言构造以规避风险。静态分析工具应配置为检查这些分类，并在持续集成中自动阻断高风险模式。
人员培训：开发团队应定期接受基于CAN CSA ISO IEC TR 24772-15的培训，重点理解每类脆弱性的根本原因及该语言特有的陷阱。通过漏洞库对比，可以加深对新发现漏洞的理解。
实施益处：遵循本指南的组织通常能将常见安全漏洞降低60%以上，同时减少后期修复成本。尤其在采用DevSecOps流程时，早期嵌入脆弱性检查可使安全验证更加高效。
与其他安全标准的协同
CAN CSA ISO IEC TR 24772-15 常与以下标准结合使用：
- ISO 26262（道路车辆功能安全）的软件设计部分要求使用经过验证的编码指南，本技术报告的脆弱性分类可直接映射到其安全要求中。
- IEC 61508（工业安全）建议采用类似的脆弱性规避策略，本报告可作为技术输入。
- CERT 编码标准（如C、C++、Java等）与ISO/IEC TR 24772系列有大量重叠概念，可互相补充。
4. 与其他标准的关系
本技术报告是ISO/IEC TR 24772系列的一个独立组成部分。它基于ISO/IEC TR 24772-1（通用语言无关脆弱性分类）构建，因此对于使用其他语言的团队，也可参考该基础部分构建类似的规避策略。
此外，本报告并不替代编程语言的国际标准（如对应语言的ISO标准），而是对语言标准中未明确禁止但已知有安全隐患的构造提出警示。它与MISRA系列（针对C/C++）和CERT编码标准有较强的互补关系，部分脆弱性分类的缓解建议可直接引用。
问：CAN CSA ISO IEC TR 24772-15 与 ISO/IEC TR 24772-15 有何不同？
答：CAN/CSA版本是加拿大标准协会采纳的国际技术报告，可能包含国家前言、加拿大市场对应的特殊注释或附录，但技术内容与ISO版本保持一致。采购时应根据所在地区选择合适版本。
答：CAN/CSA版本是加拿大标准协会采纳的国际技术报告，可能包含国家前言、加拿大市场对应的特殊注释或附录，但技术内容与ISO版本保持一致。采购时应根据所在地区选择合适版本。
问：如何将此技术报告应用到现有遗留项目中？
答：遗留项目难以一次性整改，建议优先修复分类中“高影响”的脆弱性（如缓冲区溢出、整数溢出），然后逐步覆盖整个分类体系。代码审计工具可以辅助评估当前代码的符合率。
答：遗留项目难以一次性整改，建议优先修复分类中“高影响”的脆弱性（如缓冲区溢出、整数溢出），然后逐步覆盖整个分类体系。代码审计工具可以辅助评估当前代码的符合率。
问：该技术报告是否覆盖所有编程语言？
答：不是。ISO/IEC TR 24772系列按语言分部分发布，每个部分针对一到两种语言。第15部分只覆盖其指定的语言。如果团队使用其他语言，应选择对应的系列部分（如：-3针对C语言，-4针对C++等）。
答：不是。ISO/IEC TR 24772系列按语言分部分发布，每个部分针对一到两种语言。第15部分只覆盖其指定的语言。如果团队使用其他语言，应选择对应的系列部分（如：-3针对C语言，-4针对C++等）。
问：该报告的遵循是强制性的吗？
答：技术报告本身是指导性文件，不具强制性。然而，当合同中提及该标准或行业监管机构要求（如航空安全标准DO-178C的指导材料中引用）时，它就会变成合规的必要条件。
答：技术报告本身是指导性文件，不具强制性。然而，当合同中提及该标准或行业监管机构要求（如航空安全标准DO-178C的指导材料中引用）时，它就会变成合规的必要条件。
© 2026 本文基于CAN CSA ISO IEC TR 24772-15编写，所分享内容仅供技术参考，不替代正式标准文本。
