Fortify:访问控制数据库相关问题

Question

我们一直在我们的代码中使用强化工具来检查安全漏洞。我们能够解决大部分问题，但有一些问题我们发现很难解决。其中一个与访问控制数据库相关问题有关。我们在代码中使用休眠条件从数据库中获取记录并进行强化提示从数据库获取并放入程序的数据来自不受信任的来源。下面是相同的代码

Criteria criteria = hibernatessn.createCriteria("com.vish.Status")
critiera.list() ------>Here were get an error saying "data enters program from an untrusted source".

有没有一种方法可以表明数据确实来自可信来源？

谢谢

Answer 1

简短的回答 - 不。

稍微长一点的答案 - Fortify 不知道您的数据源是否可信。您要么必须创建一个自定义过滤器来忽略该类别，要么创建自定义规则来仅忽略来自特定数据源的数据。

从历史上看，如果您一遍又一遍地扫描同一个应用程序，我只记得当您看到这些发现时，这些发现“不是问题”。