Spring data JPA Checkmarx漏洞-@Query注释的资源访问授权不当

Question

>

使用@valid和@pattern注释

的白名单输入参数 使用spring Security的 @securite（“role_test”）注释的

安全方法。

@Repository
public interface EmployeeAddressRepository extends JpaRepository<EmployeeAddress, Integer> {

  @Query("select empAdd from EmployeeAddress empAdd where empAdd.Employee.employeeId=?1 and (endDate) ORDER BY empAdd.lastUpdateTimeStamp DESC")
  List<EmployeeAddress> findEmployeeAddressByEmployeeId(String employeeId, LocalDate date) throws PersistenceException;
}

期待这里的任何指针朝着正确的方向前进

Answer 1

也许Checkmarx不支持序数参数表示法，请尝试重写查询，如下所示：

@Query("select empAdd from EmployeeAddress empAdd where empAdd.Employee.employeeId= :empId and (endDate) ORDER BY empAdd.lastUpdateTimeStamp DESC", employeeIdParameter)

其中EmployeeIDParameter是输入参数。

希望这能有所帮助，阿米特