java - 修复路径操作错误

Question

Fortify 在进行新文件(路径)比较的行上出现路径操作错误。我正在使用 Struts 2。

谁能告诉我如何解决这个问题，这样 fortify 就不会出现这个错误？

private boolean filePresent(String fileName) {
    if (fileName != null) {
        String path = getDirPath();
        if (path != null) {
            path = path.endsWith("/") ? path : path + "/";
            path = path + fileName;
            if (new File(path).exists()) {
                setFileName(fileName);
                return true;
            }
        }
    }
    return false;
}

我需要查看该文件是否存在于我们的 Web 服务器中，因此我将文件名作为参数传递，从 web.xml 获取整个目录路径，将其附加到文件名，然后组成路径& 根据 File 对象检查它是否存在。

Answer 1

您不希望远程网络用户查看 C:/Windows/System32 是否存在，或者/etc/hosts 是否存在，因为这允许他们对您的服务器进行取证研究。

您可能没有意识到您的函数允许他们这样做，方法是在输入字符串中包含适当数量的“..”序列。

有两种方法可以解决这个问题:

1. 白名单方法。删除输入参数中的所有字符，只允许使用“a”到“z”，也许还有“.”。如果输入超出这些范围，则抛出异常。

1a.或者，如果您知道有效文件列表少于 20，只需将它们列出来，如果输入不完全匹配，则抛出异常。

1. 黑名单方法。检查输入，如果它包含任何序列“..”或任何正斜杠或反斜杠，则抛出异常。这通常不是纵深防御，但对于我现在阅读的功能而言，这没问题。