我正在使用 Findbugs 的“查找安全漏洞”插件：https ://find-sec-bugs.github.io/
许多检测器使用“污染分析”来发出警告。
是否有关于如何从值中删除“污点”的文档？
我在他们的网站上找不到任何关于此的文档，而且我一直在寻找他们的源代码并且无法弄清楚：
该工具正在从以下代码中识别可能的注入错误：
import javax.ws.rs.core.Response;
import org.apache.http.client.methods.HttpGet;
public Response get(String x, String y) throws IOException {
String url = String.format("%s/%s",
x,
y);
HttpGet request = new HttpGet(url); // HERE
...
}
我已经修复了这个错误，令我满意：
import javax.ws.rs.core.Response;
import org.apache.http.client.methods.HttpGet;
import static com.google.common.net.UrlEscapers.urlPathSegmentEscaper;
public Response get(String x, String y) throws IOException {
String url = String.format("%s/%s",
urlPathSegmentEscaper().escape(x),
urlPathSegmentEscaper().escape(y));
HttpGet request = new HttpGet(url);
...
}
...但该工具仍在标记可能的错误。我相信这是因为它没有将“ com.google.common.net.UrlEscapers.urlPathSegmentEscaper()”识别为在这里删除 Taint。
否则我该如何说服它？如果我不能，我可以在这里使用哪些工具可以识别的消毒技术？