java - 信任边界违规 - Veracode 缺陷

Question

我正在测试的代码中出现信任边界冲突。该代码在 session 中添加表单，并且由于违反信任边界而存在缺陷

Inside Struts Action class execute method
{
 EditForm editform = new EditForm ();
 All the values are set either from databse or from request params and then the form is   added to session as below

 **request.getSession(false).setAttribute("EDIT_FORM", editform );**
}

我遇到了粗体显示的代码违规问题。

我该如何解决这个问题？我不确定在哪里添加验证。它是在 Action 类执行方法内创建的新表单，并且值是从请求和数据库填充的

Answer 1

你应该尝试 esapy 库，尝试如下:

• ESAPI.getValidInput(...)

设置属性之前。我发现这个缺陷与对象类型变量相关，这是有史以来最糟糕的事情，因为你无法验证它，因为你不知道类型。