java - 使用备用路径修复 CWE-288 身份验证绕过

Question

我有这段代码，我认为这是重定向到另一个 servlet 的相当标准的方法

RequestDispatcher dispatch =
    request.getRequestDispatcher("/ApplicationExceptionHandler");                       
dispatch.forward(request, response);
return;

问题是，当这样的代码通过 AppScan 等静态代码分析工具运行时，它表明代码容易受到攻击。 http://cwe.mitre.org/data/definitions/288.html

我有一个 servlet 过滤器来验证大多数 URL。尽管如此，这个工具让我没有提示。

关于如何解决这个问题有什么想法吗？

Answer 1

如果您不需要在当前状态下转发当前请求，那么您可以简单地发出到新资源的重定向。新请求将通过应用服务器的身份验证检查，并且可能是检查认为有效的内容。

但是，与所有其他静态分析一样，不能 100% 确定代码实际上容易受到此类身份验证问题的影响。你可能没事。如果您了解问题并确定您的架构不允许这样做，那么可以安全地忽略此问题。