本文介绍了使用 Fortify 扫描项目时遇到的三个主要安全问题：未释放资源（Streams）、跨站脚本（XSS）和路径操纵。针对这些问题，提出了在异常处理中关闭流、使用 StringEscapeUtils 工具类转义参数以及通过白名单过滤路径的方法。此外，还简单提及了解决序列化问题的策略，即让相关类实现 Serializable 接口。
近期,公司用fortify扫描项目,出现了很多的安全性问题,由于之前也没有接触过,网上的资料又比较少,一时间很是棘手,今天算是全部弄完了,顺便总结一下,也让其他人借鉴一下,少走些弯路.
1 Unreleased Resource: Streams
原因:出现这个漏洞的原因就是有时候流没有关闭,比如说创建流和关闭流之间,如果这段代码出现问题抛出异常则会没有关闭
方案:把关闭流的代码放入(try catch )finally中,即使出现异常也会关闭.
2. Cross Site Scripting
原因:这个就很多了,包括sql注入,也有可能是java向js中传参等原因,这里只介绍向js中传参
方法:StringEscapeUtils工具类,他有escapeJava();escapeJavaScript();escapeXml();等多种方法对传入的参数进行转义从而可以避免
3.path manipulation
最低0.47元/天 解锁文章
扫一扫
5万+
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
