java - 经常被误用：身份验证 - Fortify

Question

当我使用 fortify 进行扫描时，我在下面的代码中发现了 5 个漏洞，例如“经常被滥用：身份验证”。为此，我们是否有任何解决方法来避免此问题。

  this.localAddress = InetAddress.getLocalHost().toString();

当我们将.getLocalHost()防御工事称为问题时。

Answer 1

这取决于您如何使用此地址。例如，如果您使用它来确定您是否可以访问某个地址范围内的应用程序，那么这是一个问题。地址解析协议 (ARP) poisining 是攻击者工具包中最基本的工具之一。

如果您只是为了方便而使用它来记录机器名称，那么您可能没问题。

Answer 2

您也可以使用来自 fortify 的建议，但如果您需要通过此访问 localhost，我建议您更好地查看您的架构，因为它可能存在缺陷。