如何修复强化路径操作（输入验证和表示、数据流）漏洞

Question

我在使用新关键字创建文件时遇到了强化路径操作漏洞

在将路径传递给文件对象之前，我已尝试清理路径，但问题仍然存在。还尝试了此链接：https://www.securecoding.cert.org/confluence/display/java/FIO00-J.不要对共享目录中的文件进行操作

public static String sanitizePath(String sUnsanitized) throws URISyntaxException, EncodingException {

   String sSanitized = SAPI.encoder().canonicalize(sUnsanitized);
   return sSanitized;

}


//// the main method code snippet /////

String sSanitizedPath = Utils.sanitizePath(file.getOriginalFilename());

-- fortify scan detects problem here ..in below line --

File filePath = new File(AppInitializer.UPLOAD_LOCATION, sSanitizedPath);

String canonicalPath = filePath.getCanonicalPath();
FileOutputStream fileOutputStream = new FileOutputStream(canonicalPath);

在santisePath之后，我以为扫描不会被选中，漏洞，但是，它做到了。

Answer 1

这个“sunsanized”变量来自用户输入？也许这才是你真正的问题。

永远不要相信用户输入，这是开发的首要规则。