如何在Java中使用org.owasp.encoder.编码？

Question

public static void sendEmail(String to, String cc, String subject, String content) throws IOException {
    LOG.info(ESAPIValidation.sanitizeParam((String.format("EmailUtil.sendEMail() \n To: %s\n Subjet: %s \n  Content: %s", to, subject, content))));
    String host = ApplicationUtil.getProperty(ApplicationConstants.AL_WS_MAIL_HOST);
    String port = ApplicationUtil.getProperty(ApplicationConstants.AL_WS_MAIL_PORT);
    String from = ApplicationUtil.getProperty(ApplicationConstants.AL_WS_MAIL_FROM);
    String defaultToAdd = ApplicationUtil.getProperty(ApplicationConstants.AL_WS_DEFAULT_MAIL);
    String emailSystemPrefix = ApplicationUtil.getProperty(ApplicationConstants.EMAIL_PREFIX);

    if (StringUtil.isNullOrEmpty(emailSystemPrefix)) {
        emailSystemPrefix = "";
    } else {
        emailSystemPrefix =  emailSystemPrefix  + " - "; 
    }

    Properties properties = System.getProperties();
    properties.setProperty("mail.smtp.host", host);
    properties.setProperty("mail.smtp.port", port);
    Session session = Session.getDefaultInstance(properties);

    try {
        MimeMessage message = new MimeMessage(session);
        message.setFrom(new InternetAddress(from));

        addToList(message, to);
        
        addCCList(message, cc);
        if(cc == null || (cc != null && !cc.equals(defaultToAdd)))
        addCCList(message, defaultToAdd);

        content = addFooter(content);
        message.setSubject(emailSystemPrefix + subject);
        message.setContent(content.replace("textarea", "div"), "text/html; charset=utf-8");
        Transport.send(message);

    } catch (AddressException addressException) {
        LOG.warn("EmailUtil.triggerDBFailureMail() AddressException ", addressException);
    } catch (MessagingException messageException) {
        LOG.warn("EmailUtil.triggerDBFailureMail() MessagingException ", messageException);
    }
}

在这段代码中，我遇到了Veracode问题：

CRLF序列的不当中和（“CRLF注入”）（CWE ID 93）

在

message.setSubject(emailSystemPrefix + subject);

我正在尝试使用 org.owasp.encoder.Encode 来解决这个问题，但我不知道 Encode 类的用法。任何人都可以简要介绍Encode类的实现，在哪里使用，用它解决了什么？

Answer 1

您可以在文档中阅读有关Encode类的信息

Encode -- 用于上下文编码的流畅接口。

每个上下文编码方法有两个版本。第一个版本接受String参数并将编码版本作为String返回。第二个版本将编码版本直接写入Writer。

请确保阅读并理解该方法编码的上下文。为不正确的上下文编码可能会导致暴露跨站点脚本漏洞。

和CRLF注入

术语 CRLF 是指回车 （ASCII 13， \r） 换行 （ASCII 10， \n）。它们用于记录行的终止，但是，在当今流行的操作系统中处理方式不同。例如：在Windows中，CR和LF都需要注意行尾，而在Linux/UNIX中，只需要LF。在HTTP协议中，CR-LF序列始终用于终止线路。

当用户设法将CRLF提交到应用程序中时，就会发生CRLF注入攻击。这通常通过修改HTTP参数或URL来实现。