security - 如何修复某些 Java 代码中的 "Path Manipulation Vulnerability"？

Question

下面的简单 java 代码获取 Fortify Path Manipulation 错误。请帮我解决这个问题。我挣扎了很长时间。

public class Test {
    public static void main(String[] args) {
        File file=new File(args[0]);
    }

}

Answer 1

在使用 URL 之前尝试对其进行规范化

https://docs.oracle.com/javase/7/docs/api/java/net/URI.html#normalize()

Path path = Paths.get("/foo/../bar/../baz").normalize();

或使用来自 org.apache.commons.io.FilenameUtils 的 normalize

https://commons.apache.org/proper/commons-io/javadocs/api-1.4/org/apache/commons/io/FilenameUtils.html#normalize(java.lang.String)

Stirng path = FilenameUtils.normalize("/foo/../bar/../baz");

两者的结果都是 \baz