java - 获取服务器端请求伪造 (SSRF) (CWE ID 918) restTemplate.getForEntity

Question

我正在使用restTemplate微服务架构中的同步服务间通信。

当我们完成Veracode扫描时，我们正在进入Server-Side Request Forgery (SSRF) (CWE ID 918)方法getForEntity。

restTemplate.getForEntity(URL, Entity.class);

不知道为什么我会遇到这个SSRF问题？
对此有什么可能的解决方法？

Answer 1

我已经通过在 restTemplate 中使用它之前使用 UriComponents 构建 URL 来解决这个问题。

UriComponents uriComponents = UriComponentsBuilder.newInstance()
  .scheme("http").host("www.yourdomain.com").path("/yourPath").build();

请参考此链接以使用 UriComponents https://www.baeldung.com/spring-uricomponentsbuilder