у меня есть код
File file = new File(fileName)
Это fileName я готовлю из других деталей. Однако я получаю
Внешний контроль имени файла или пути
ошибка, когда я отправляю свой код в инструмент сканирования безопасности Vera Code. Может кто-нибудь, пожалуйста, помогите мне, как решить эту проблему.
Сообщенная проблема означает, что кто-то может изменить fileName извне, например. вводом данных пользователем или изменением файла конфигурации. См. также CWE-73: Внешний контроль имени файла или пути.
Это приводит к уязвимости в системе безопасности, когда злоумышленник может получить доступ к любым файлам в вашей файловой системе и либо прочитать файлы, либо даже перезаписать файлы, отличные от предполагаемых.
Вам нужно проверить, каков источник различных частей вашего fileName. Например, предположим, что пользователь может предоставить extn через ваш веб-интерфейс. Если вы используете пользовательский ввод в своем приложении без дополнительной проверки, пользователь может получить доступ к файлам, которые он не должен:
User input: extn="/../etc/passwd"
Resulting fileName: "/certificateId docTypeLongName_FileId/../etc/passwd"
Чтобы решить эту проблему, вы можете использовать проверку, чтобы убедиться, что ввод не содержит определенных строк, таких как .., или вы можете использовать белые списки (если возможный диапазон ввода ограничен). чтобы убедиться, что представлены только хорошо известные значения.
