仅通过replaceAll（“\ r”，“_”）通过Veracode CWE 117（日志不正确的输出中和）。replaceAll（“\ n”，“_”）

Question

我在某些论坛上看到这样的神话：通过做这样的事情来通过Veracode CWE 117（日志不正确的输出中和）问题。 有人可以证实这是否是这种情况？

message.replaceAll("\r", "_").replaceAll("\n", "_"); 

从这个话题How to fix Veracode CWE 117 (Improper Output Neutralization for Logs) ，我知道我需要做这样的事情

ESAPI.encoder().encodeForHTML(message); 

Answer 1

需要转义，这就是它在上下文中的消息，该ESAPI记录器并更换\r和\n个字符以及如果配置为HTML编码。

目前这段代码给了我一个CWE 117 Veracode的：

log.log(Level.WARNING, System.getenv("unsafe")); 

此代码不：

log.log(Level.WARNING, ESAPI.encoder().encodeForHTML(System.getenv("unsafe"))); 

encodeForHTML分别编码\r和\n到
和
，但下划线是恕我直言更清洁，如果你解码的HTML你可能会得到意想不到的新线。