如何中和HTTP标头中的CRLF序列

Question

我已经通过了这个链接。[如何修复“HTTP标头中CRLF序列的不正确中和（'HTTP响应拆分'）”

但它并没有给我解决方案。

我的代码也给出错误“HTTP标头中CRLF序列的不正确中和（'HTTP响应拆分'）

我的代码片段是：

Cookie newloginCookie = new Cookie("CMCLoginCookie", userName + ":" + password);
                                newloginCookie.setMaxAge(24 * 60 * 60 * 1000);
                                response.addCookie(newloginCookie);

在veracode扫描中，最后一行出现错误。不知道该怎么办。

Answer 1

一旦您获得用户名和密码，请尝试剥离它们的所有“\r”和“\n”字符。使用像Apache StringUtils这样的东西，这将是这样的：

String safeUserName = StringUtils.replaceEach(userName, new String[] {"\n", "\r"}, new String[] {"", ""});
String safePassword = StringUtils.replaceEach(password, new String[] {"\n", "\r"}, new String[] {"", ""});

然后使用安全字符串创建cookie。

Answer 2

通过使用ESAPI，您可以修复最大CWE问题。

基本上，上述问题是需要使用正则表达式或DefaultHTTPUtilities从用户输入中删除值。