下载文件时如何修复veracode CWE-80 XSS问题？

Question

以下是我现有的 Java 基本标准代码，如您所见，我只是使用输出流下载文件。

我只使用请求参数从标头中获取浏览器详细信息以生成文件名，然后我再次对其进行解码。

所以现在我不明白下面的代码是怎么回事

outputStream.write(data, 0, read);

会导致 XSS 问题吗？

那么，由于我的输出是一个简单的文件，我该如何解决这个问题？

        OutputStream outputStream = httpResponse.getOutputStream();
        InputStream fileInputStream = generateInputStreamObj(user, attachmentObj, false, httpRequest, servletContext, ipAddress);

        String userAgent = httpRequest.getHeader("User-Agent");
        String encodedFileName = generateFileName(userAgent, attachmentObj);

        int downloadBufferSize = Integer.parseInt(CacheManagement.getInstance().getSystemPropertyByAlias().get("DOWNLOAD_BUFFER_SIZE").getPropertyValue());

        httpResponse.setContentType("application/x-download");
        httpResponse.setHeader("Content-Length", String.valueOf(attachmentObj.getDocumentSize()));
        httpResponse.setHeader("Content-Disposition", "attachment; filename=\"" + encodedFileName + "\"");
        httpResponse.setBufferSize(downloadBufferSize);

        bufferInputStream = new BufferedInputStream(fileInputStream);
        byte[] data = new byte[downloadBufferSize];
        int readed = 0;
        while ((readed = bufferInputStream.read(data)) != -1)
        {
            outputStream.write(data, 0, readed);
        }

我检查了堆栈溢出和 Veracode 答案，但它对我没有帮助。

** 如果您将此问题置于减号状态，请发表评论。我查看了 stackoverflow 和 veracode 社区的答案，但它没有回答我的问题。

Answer 1

Veracode 可能看到您没有进行任何编码，并认为这可能是 XSS 问题。

但是，在这种情况下，不需要编码，因为它是文件下载，而不是 HTML 数据的生成。结果不会被浏览器解释为带有这些内容类型和标题的 HTML，因此这是一个误报警告。

Answer 2

转换

< → &lt;

> → &gt;

' → &#39;

" → &quot;

& → &amp;

代码：

public static final String stringToHtmlString(String s){
   StringBuffer sb = new StringBuffer();
   int n = s.length();
   for (int i = 0; i < n; i++) {
      char c = s.charAt(i);
      switch (c) {
         case '<': sb.append("&lt;"); break;
         case '>': sb.append("&gt;"); break;
         case '&': sb.append("&amp;"); break;
         case '"': sb.append("&quot;"); break;
         default:  sb.append(c); break;
      }
   }
   return sb.toString();
}