用于原木锻造的Checkmarx Java修复-消毒用户输入

Question

谢了！

@RequestMapping(value = "/retriveCourses", method = RequestMethod.GET)
@ResponseBody
public List<Course> getCourses(@RequestParam(value = "courseType", required = false) String courseType) {

}

Answer 1

在这种情况下，Checkmarx工具似乎是正确的。

“日志伪造”漏洞意味着攻击者可以设计安全敏感操作的日志并设置虚假审计跟踪，从而可能涉及无辜用户或隐藏事件。

在使用htmlescape时，将转义一些特殊字符：

null

它不会转义或删除为了保持日志完整性而必须避免的新行/EOL/TAB字符。

避免伪造日志的最佳实践建议如下：

>

确保替换所有相关的危险字符。示例：

cleaninput=input.replace('\t','-').replace('\n','-').replace('\r','-')；

验证所有输入，无论来源如何。验证应基于白名单。只接受适合指定结构的数据，而不是拒绝坏的模式。检查：数据类型，大小，范围，格式，期望值。

希望这能解决你的问题。