java - Fortify 报告 "Privacy violation"问题

Question

以下代码被 Fortify 识别为“侵犯隐私”类别的漏洞/问题。

sbfOut.append(" validateSSN(document.form1." + name
                    + ",\" \",\" \")' " + override + "; >");
            out.println(sbfOut.toString());
        } // SN end
        else if (fieldType.equals(CoConstants.DE_ELEMENT_TYPE_TN

在我的另一种方法中，Fortify 也将以下代码块识别为“侵犯隐私”类别的漏洞问题。

sbfOut.append(" <OPTION VALUE='0'>-NO DATA-</OPTION>");
        try {
            out.println(sbfOut.toString());
        } catch (IOException ioe) {
            debug("Exception In coCustomTag" + ioe

我无法弄清楚如何解决这个问题以及问题到底出在哪里。

Fortify 给出的确切消息:

The method methodName() in CoCustomTag.java mishandles confidential information, which can compromise user privacy and is often illegal.

请忽略左大括号和所有内容，因为我仅将 Fortify 标识的代码部分放在这里。

Answer 1

如果您认为这个问题是误报或者您可以忽略Fortify Java 注解 @FortifyNotPassword、@FortifyNotPrivate 可用于指示哪些字段和变量代表密码和私有(private)数据。

这些注释将告诉强化代码分析器忽略这些字段，问题就消失了。

查看下面的内容以了解更多详细信息。

HP Fortify -- annotating method parameters