EntityManager.find(id) 会执行恶意攻击吗？答案

【问题标题】：Would EntityManager.find(id) execute malicious attack?EntityManager.find(id) 会执行恶意攻击吗？
【发布时间】：2018-10-12 19:08:54
【问题描述】：

我的休息服务从 UI 中获取“ids”参数。我的控制器如下

@RestOutMessage
deleteEntry(List<String> ids) {
    .......
}

我在我的应用上运行 Checkmarx，它突出显示了“ids”，并报告说它容易受到 XSS 和其他 HTML 注入攻击。

在内部我的代码使用entityManager.delete(id)。我不确定这是否安全，或者我如何解释这是否安全。

【问题讨论】：

【解决方案1】：

我对 checkmarx 不熟悉，但我对你的问题很感兴趣。我真的不明白这行代码如何与 XSS 或 HTML 注入相关联。您可能应该只担心 SQL 注入，并且在这方面您是安全的 - Hibernate 在下面使用 PreparedStatement。

【讨论】：