Java 项目中的信任边界冲突缺陷

Question

对于下面提到的代码，我在CheckMarx报告中得到了信任边界违规。

错误描述-方法'getResponse'从元素请求中获取用户输入。此元素的值在没有经过适当清理或验证的情况下流过代码，最终存储在服务器端会话对象中的'parseRequest'方法中。**

代码 -

@Context
HttpHeaders httpHeader;

void parseRequest(SomeRequestType inputRequest) {
    HashMap<String, Data> requestData = inputRequest.getRequestData(httpHeader);
    if (requestData != null) {
        if (Strings.isNullOrEmpty(inputRequest.getId())) {
            Data data = requestData.get("data");
            var dataID = data.getID();
            if ((dataID != null) && Pattern.matches("[0-9]+", dataID)) {
                inputRequest.setId(dataID);
                ThreadContext.put("ID", dataID);
            }
        }
    }
}

我在下面的行中得到checkmarx漏洞，原因是没有经过适当的清理或验证

ThreadContext.put("ID", dataID);

可以请一些人帮助我，如何正确消毒上面的线。

Answer 1

如果你确定dataID是一个数字，马上把它转换成integer/long，就像这样:

int dataIDasNumber = Integer.parseInt(dataID);

在这里像int/long一样使用它:

inputRequest.setId(dataIDasNumber);
ThreadContext.put("ID", dataIDasNumber);

那么你不需要这样做：

Pattern.matches...

你违反检查马克思的行为应该会消失。