React JS中fetch函数触发Veracode漏洞告警的解决方案咨询

问题场景 #

在React项目中使用fetch调用固定业务端点时，Veracode触发了URL数据泄露的漏洞告警，但该URL仅为合法业务路径，未传输任何敏感信息。相关代码如下：

fetch("https://<domain_name>/bwcc/name", {
  method: "GET",
  headers: {
    "Content-Type": "application/json",
    "Authorization": '<BEARER_TOKEN>',
  },
})

告警触发在fetch调用的行：fetch("https://<domain_name>/bwcc/name", {

抑制告警的可行方案 #

1. 代码内添加Veracode抑制注释 #

Veracode支持在代码中添加特定注释标记，直接忽略该行的误报。你可以根据告警对应的规则ID或CWE编号添加注释，示例如下：

// veracode suppress ruleid=<你的告警规则ID> reason="固定业务端点，未包含敏感数据，属于误报"
fetch("https://<domain_name>/bwcc/name", {
  method: "GET",
  headers: {
    "Content-Type": "application/json",
    "Authorization": '<BEARER_TOKEN>',
  },
})

提示：规则ID可在Veracode扫描结果的告警详情中获取；若按CWE抑制，可替换为cweid=<CWE编号>，URL数据泄露常见对应CWE为598（暴露敏感信息至外部实体）。

2. 在Veracode平台标记为误报 #

直接在Veracode扫描结果页面操作：

• 定位到该URL数据泄露的告警条目
• 选择标记为False Positive（误报）
• 填写理由：该请求URL为固定业务端点，未包含任何敏感信息，属于扫描工具误判
• 提交后，后续扫描将不再触发该告警

3. 重构代码绕过静态扫描（可选） #

部分静态扫描工具对硬编码URL易产生误判，可尝试将URL拆分为变量拼接，可能规避误报：

const apiBase = "https://<domain_name>";
const apiEndpoint = "/bwcc/name";

fetch(`${apiBase}${apiEndpoint}`, {
  method: "GET",
  headers: {
    "Content-Type": "application/json",
    "Authorization": '<BEARER_TOKEN>',
  },
})

注意：该方法并非所有场景都有效，仅作为辅助尝试手段。

内容的提问来源于stack exchange，提问作者Ibrahimtaj