SonarQube规则：Spring Boot应用程序中的“使用命令行参数是安全敏感的”

Question

SonarQube只是在非常基本的Spring Boot应用程序中显示了一个关键的安全问题。在主方法中。

@SpringBootApplication
public class Application {

    public static void main(String[] args) {
        SpringApplication.run(Application.class, args);
    }

}

SonarQube希望我确保在这里安全使用命令行参数

我在StackOverflow和谷歌上搜索了这个问题，我很惊讶我找不到任何关于这个问题的评论。我几乎可以肯定，在SpringApplication.run方法中已经有了一些安全检查。而且，我甚至不记得有人在调用SpringApplication.run之前清理了主方法参数。我只想将其标记为假阳性，然后继续前进。

这里还提出了部分问题：SonarQube显示了Spring框架控制器和Spring框架应用程序主类中的安全错误

是假阳性吗？




Answer 1

不，这确实是一个关键的安全问题。它只是要求在使用前对ARG进行消毒。对于一个简单的应用程序来说，不需要这么担心，但对于生产应用程序来说，这可能是一件大事。

更多详情请访问https://rules.sonarsource.com/java/RSPEC-4823?search=Make确保在这里安全地使用命令行参数。

Answer 2

如果你确定，那么你可以包括以下内容来解决这个问题。

@SpringBootApplication
public class Application {

    public static void main(String[] args) {
        SpringApplication.run(Application.class);
    }

}

根据声纳留档，这似乎被标记为安全热点

与漏洞不同，安全热点不一定是容易受到攻击的问题。相反，安全热点强调需要手动检查的安全敏感代码片段。经过检查，您将发现需要修复的漏洞或没有威胁。

你可以在这里阅读更多关于它的信息

根据RSPEC-4823或S4823规则，命令行参数将根据

• 使用任何命令行参数时，都不会首先进行清理

如果你的应用程序属于这一类，它们肯定是你的应用程序可能存在的安全问题。

Answer 3

如果您没有使用任何命令行参数，那么您可以避免在run方法中提到args参数。就像下面的代码一样。

@SpringBootApplication
public class Application {

    public static void main(String[] args) {
        SpringApplication.run(Application.class);
    }

}

这将消除这一热点问题。