java - 如何修复 CWE 73 文件名或路径的外部控制

Question

在 veracode 扫描期间，我的结果中出现了 CWE 73 问题。有人可以建议我如何针对以下编码场景修复此解决方案吗？

提供的现有解决方案不起作用，我还想知道是否可以使用任何 ESAPI 属性来解决此问题？

尝试一下 { String serviceFile = System.getProperty("PROP", ""); logger.info("service A", "Loading service file ["+ serviceFile+ "].");//此行发生安全问题 CWE 73 }

Answer 1

有几种解决方案:

1. 使用白名单进行验证，但使用入口点的输入作为我们在使用硬编码值列表中提到过。

2. 使用简单的正则表达式白名单进行验证

3. 规范化输入并验证路径

我使用了第一个和第二个解决方案并且工作正常。

更多信息:https://community.veracode.com/s/article/how-do-i-fix-cwe-73-external-control-of-file-name-or-path-in-java