So beheben Sie die Findbugs Sicherheitswarnung für 'Mögliche Pfad Traversal (Datei lesen)'

Question

Ich bekomme über Warnung mit 'Methode java.io.File liest eine Datei, deren Speicherort durch Benutzereingabe' Nachricht nach dem Ausführen von Findbugs in der unter Code-Snippet

public void removeFile(String warfileName){ 
    File warFile = new File(homePath + "/samples/" + warFileName + ".war"); 
..... 
} 

Was wäre der beste Weg, um dieses Sicherheitsrisiko zu beheben?

Answer 1

Wie @Jeet darauf hingewiesen hat, ist auf der Seite eine Lösung beschrieben. Grundsätzlich sugests es, einen Rahmen zu verwenden, um „Normalisierung“ die Benutzereingabe, das heißt:

File file = new File("resources/images/", image); //Weak point 
File file = new File("resources/images/", FilenameUtils.getName(image)); //Fix 

Das Problem bei dieser Lösung ist, dass es eine Abhängigkeit zu einem Projekt führt (auf Apache Commons).

Anstatt stattdessen FilenameUtils.getName zu verwenden, könnten Sie versuchen, Java 7 Files und Path zu verwenden. Wahrscheinlich würde Path # getFileName() helfen, die Unerträglichkeit zu beheben.