java - 将验证 InternetAddress 对象上的方法删除 CRLF 注入问题

Question

我用 veracode 扫描了项目，它给出了 CWE ID 93（CRLF 注入）的问题，这个问题发生在下面一行 -

InternetAddress[] address = {new InternetAddress(username)};
msg.setRecipients(Message.RecipientType.TO, address);

Veracode 在上述代码的第二行标记了问题 93。 用户名是从请求对象中解析出来的，请求对象是字符串缓冲区

所以我的一位同事建议我应该使用 validate 方法来删​​除 CRLF 字符。地址对象上的验证方法会删除 CRLF 分隔符吗？

Answer 1

使用 ESAPI（OWASP 企业安全 API）。它完全免费。

设置 ESAPI 后，下面的代码将解决该问题。

ESAPI.encoder().decodeForHTML(用户名)