java - 如何修复 spring RestTemplate 中的 "Server-Side Request Forgery"问题

Question

使用 Spring RestTemplate 时，Fortify 报告中出现“服务器端请求伪造”问题。

我正在使用restTemplate 调用其他一些REST 服务，并从我的 Controller 类传递此url。该 URL 是硬编码在我的 Controller 中的，而不是用户控制的数据。

HttpEntity<R> response = restTemplate.exchange(uri, HttpMethod.POST, entity,
parameterizedTypeReference);

不确定如何解决此问题。

Answer 1

SSRF被控制服务器发出的传出请求的攻击者利用。如果 uri 确实是硬编码的，那么攻击者就无法影响请求的去向，因此它确实看起来是误报。然而，尽管 Fortify 因误报而闻名，但我还没有看到它犯过这种类型的错误(即尽管有硬编码的 URI，但仍声称有 SSRF)，所以听到这个消息我有点惊讶。您检查过 Fortify 提供的整个源到接收器跟踪吗？如果它仅报告一条线路作为源和接收器，那么是的，这是误报。如果还有更多，那么如果您提供完整的跟踪将会很有帮助。