如何修复 Fortify Path Manipulation (Input Validation and Representation, Data Flow) 漏洞

Question

我正在使用新关键字创建文件的强化路径操作漏洞

我尝试在将路径传递给 File 对象之前对其进行清理，但问题仍然存在。 也试过这个链接： https://www.securecoding.cert.org/confluence/display/java/FIO00-J.+Do+not+operate+on+files+in+shared+directories

public static String sanitizePath(String sUnsanitized) throws URISyntaxException, EncodingException {

   String sSanitized = SAPI.encoder().canonicalize(sUnsanitized);
   return sSanitized;

}


//// the main method code snippet /////

String sSanitizedPath = Utils.sanitizePath(file.getOriginalFilename());

-- fortify scan detects problem here ..in below line --

File filePath = new File(AppInitializer.UPLOAD_LOCATION, sSanitizedPath);

String canonicalPath = filePath.getCanonicalPath();
FileOutputStream fileOutputStream = new FileOutputStream(canonicalPath);

在 santizePath 之后，我认为扫描不会被挑选，漏洞但是，它确实如此。

Answer 1

这个“sUnsanitized”变量来自用户输入？也许这是你真正的问题。

永远不要相信用户输入，这是发展的第一条规则。