不正确的访问控制授权-CheckMarx-文件读/写操作

Question

访问控制授权不当

在读/写方法时，将数据从文件中写入输出流。

private ByteArrayOutputStream createToByteArray(String fileName) throws IOException {
        byte[] buf = new byte[1024];
        try (InputStream is = Files.newInputStream(Paths.get(fileName))) {
            int len = is.read(buf);
            ByteArrayOutputStream os = new ByteArrayOutputStream();
            while (len != -1) {
                os.write(buf, 0, len);
                len = is.read(buf);
            }
            return os;
        }
    }

Answer 1

您希望用户可以通过路径从文件系统中读取文件，并将其转换为字节流。好吧。

但是如果用户给你一个绝对的文件路径呢？还是相对的（例如../../.ssh/id_rsa)？

不管是谁发送请求，请求的访问权限实际上就是服务器访问权限（因为这段代码当然是在服务器上运行的）。

if (user.equals("admin")){
   try (InputStream is = Files.newInputStream(Paths.get(fileName))) {
      ...
   }
}