Spring Boot 3 MVC应用VeraCode扫描CWE-73漏洞修复咨询

1. 显式校验请求参数，消除工具误判依据 #

VeraCode的误报大概率是因为直接传递原始请求参数到返回视图的方法，被误判为可能用于文件路径操作。可以先对参数做严格的业务合法性校验：

• 校验quantity和itemNumbers的长度是否匹配
• 校验每个quantity是正整数，itemNumbers符合业务规定的格式（比如正则匹配商品编号规则）

示例代码：

@RequestMapping(value = "/addToCart", method = RequestMethod.POST)
public String addToCart(WebRequest webRequest, HttpServletRequest request) throws Exception {
    String[] quantities = request.getParameterValues("qty");
    String[] itemNumbers = request.getParameterValues("itemNumber");

    // 参数合法性校验
    if (quantities == null || itemNumbers == null || quantities.length != itemNumbers.length) {
        throw new IllegalArgumentException("Invalid request parameters");
    }
    for (String qty : quantities) {
        if (!qty.matches("\\d+") || Integer.parseInt(qty) <= 0) {
            throw new IllegalArgumentException("Invalid quantity value");
        }
    }
    for (String itemNum : itemNumbers) {
        // 替换为业务实际的商品编号规则，比如仅允许字母数字组合
        if (!itemNum.matches("[A-Z0-9]+")) {
            throw new IllegalArgumentException("Invalid item number");
        }
    }

    return addToCartHelper(webRequest, request, quantities, itemNumbers);
}

2. 明确重定向视图类型，强化返回逻辑 #

既然addToCartHelper生成的是重定向URL，可在控制器中显式确保返回值带有redirect:前缀，让扫描工具清晰识别这是重定向操作而非文件路径：

String redirectUrl = addToCartHelper(webRequest, request, quantities, itemNumbers);
// 强制统一重定向格式
if (!redirectUrl.startsWith("redirect:")) {
    redirectUrl = "redirect:" + redirectUrl;
}
return redirectUrl;

3. 在VeraCode平台标记误报 #

如果确认代码完全未涉及文件系统操作，可直接在VeraCode后台将该漏洞标记为误报（False Positive），并备注说明：此方法仅用于MongoDB数据操作与重定向URL生成，无任何文件系统访问行为。

4. 重构参数传递方式，封装业务DTO #

将原始请求参数封装为业务DTO（数据传输对象），让扫描工具更容易识别参数的业务用途，减少误判概率：

// 定义业务DTO
public class CartAddRequest {
    private List<Integer> quantities;
    private List<String> itemNumbers;
    // 生成getter、setter方法
}

// 修改控制器方法
@RequestMapping(value = "/addToCart", method = RequestMethod.POST)
public String addToCart(WebRequest webRequest, HttpServletRequest request, 
                        @ModelAttribute CartAddRequest cartRequest) throws Exception {
    // 对DTO参数做合法性校验...
    return addToCartHelper(webRequest, request, 
                           cartRequest.getQuantities().toArray(new Integer[0]), 
                           cartRequest.getItemNumbers().toArray(new String[0]));
}

内容的提问来源于stack exchange，提问作者Heorhi Utseuski