为什么 Fortify SCA 将某些 Java 三元条件标记为始终为假或始终为真

Question

我最近一直在查看 Fortify 的许多发现，我试图了解为什么 Fortify SCA 将一些而非全部 Java 三元条件标记为“始终为假”或“始终为真”。 下面的例子。
任何人都可以提供对此的见解吗？ 提前致谢。

这些示例都在实体类中。

这被标记为“始终为假”。

public void setGmtInd(String gmtInd) {
    this.gmtInd = gmtInd != null ? gmtInd.toUpperCase() : gmtInd;
}

这被标记为“始终为真”。

public void setDefaultValueInd(String defaultValueInd) {
    this.defaultValueInd = defaultValueInd != null ? defaultValueInd.toUpperCase() : defaultValueInd;
}

这未被标记为发现。

public void setUserid(String userid) {
    this.userid = userid != null ? userid.toUpperCase() : userid;
}

Answer 1

我深入研究了应用程序代码，发现了以下内容。
标记为 Always false 的那些总是使用 null 值调用。

this.setGmtInd(null);

标记为 Always true 的那些总是使用硬编码值调用。

this.setDefaultValueInd("Y");
this.setDefaultValueInd("N");

当然，没有被标记的那些是被正确使用的。

this.setUserid("");
this.setUserid(cmosUser.getUserid());

我很抱歉浪费你的时间在这个上......下一次，我将首先深入挖掘。