不安全的对象绑定 checkmarx spring boot 应用程序

Question

我从 checkmarx 收到此警报，说我在尝试保存评论时有一个不安全的对象绑定。 我读到我们不能直接从 requestBody 保存对象，因为这可能很危险，这就是为什么我从客户端获取 commentDTO，使用 modelMapper 从 dto 创建新评论，并在 commentService 中创建评论并将其保存到数据库中，但 checkmarx 一直指出同样的问题。

这是我的控制器：

@PostMapping("/add")
    public ResponseEntity<Comment> createFaq(@RequestBody  CommentDTO commentDTO) {
        try {
            
            Comment comment = new Comment();
            modelMapper.getConfiguration()
            .setMatchingStrategy(MatchingStrategies.LOOSE);
            modelMapper.getConfiguration().setAmbiguityIgnored(true);
            
            comment = modelMapper.map(commentDTO, Comment.class);

            commentservice.create(comment);
            return new ResponseEntity<>( HttpStatus.CREATED);
        } catch (Exception e) {
            System.out.println("unable to create comment with msg "+e.getMessage());
            return new ResponseEntity<>(null, HttpStatus.INTERNAL_SERVER_ERROR);
        }
    }

这是我的 dto：

@Data
public class CommentDTO {
    private Long id_comment;
    private String contenue;
    private Employe employe;
    private Faq faq;
    private Notifications notif;
    private LocalDateTime dateOfComment = LocalDateTime.now();
}

Answer 1

当使用默认反序列化器将 request.body 反序列化为 CommentDTO 时，内容可以描述自定义类（扩展 CommentDTO），该类在实例化时可以执行任何操作（有时甚至是远程代码执行）。
为请求正文实现映射器应该可以避免该问题。