安全扫描 - sendRedirect() 的开放重定向缺陷；
我运行了我的应用程序进行静态分析，对于下面的行，我收到了缺陷
response.sendRedirect(location.toString)
我尝试使用 ESAPI 输入验证器，如下
if(!ESAPI.validator().isValidRedirectLocation(string, location, true));
但还是没有解决
I ran my application for static analysis, for below line I am getting flaw
response.sendRedirect(location.toString)
I tried with ESAPI input validator as below
if(!ESAPI.validator().isValidRedirectLocation(string, location, true));
But still not resolved
如果你对这篇内容有疑问，欢迎到本站社区发帖提问 参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。
绑定邮箱获取回复消息
由于您还没有绑定你的真实邮箱，如果其他用户或者作者回复了您的评论，将不能在第一时间通知您！
发布评论
评论（1）
这实际上只是解决方案的一部分。也就是说，这是必要的但不是充分的步骤。如果
Validator.isValidRedirectLocation()返回true，那么您还需要根据可接受的重定向位置的允许列表检查“位置”。此外，根据您的 SAST 工具，它可能无法自动识别此特定更正来进行修复，因此您可能必须让 AppSec 工程师对其进行验证。
This is really only part of the solution. That is, it is a necessary, but not sufficient step. If
Validator.isValidRedirectLocation()returnstrue, then you will also want to check 'location' against an allow-list of acceptable redirect locations.Also, depending on your SAST tool, it may not recognize this particular correction automatically as remediating it, so you may have to have an AppSec engineer verify it.