如何修复有效载荷消毒中的checkmarx错误

Question

我有一个spring boot service(2.4.5)显示了一个checkmarx错误，我们需要清理请求有效负载。我们如何对请求有效载荷进行消毒？

 @ApiOperation(value = "Executes new report. The response contains the new job id.")
@PostMapping(value = "/execute")
public ResponseEntity<MyResponse<Object, Void>> execute(
        @RequestBody final MyInput input) {.......}

对于“@RequestBody final MyInput Input”，我得到以下checkmarx错误消息：

我想消毒我的有效载荷。或者除了使用DTO，然后将其转换为我的数据库实体之外，没有其他选择

Answer 1

根据对漏洞的描述，我假设Checkmarx检测到的确切漏洞是“启发式SQL注入”。如果能看到接收器在哪里（漏洞在哪里传播），而不仅仅是源（“@RequestBody final MyInput Input”），那就更好了。

第一种方法是使用参数化或准备好的语句，这里有一个指向OWASP的cheatsheet的链接，它对您很有用

我认为Checkmarx还希望使用encodeForSQL函数，这需要您使用OWASP企业安全API库

input = ESAPI.encoder().encodeForSQL(new MySQLCodec(), input);

或适当更改数据库编解码器