Spring MVC 2.5应用ModelView注入漏洞修复求助

针对你遇到的Checkmarx检测告警（含误报及实际风险），可以通过以下几种方式彻底解决问题，同时让静态检测工具认可你的修复逻辑：

1. 使用RedirectView传递参数（推荐） #

避免直接拼接重定向URL字符串，改用Spring官方的RedirectView组件，通过ModelMap传递参数。这种方式会自动处理参数编码，且静态检测工具能识别这种安全的重定向实现：

protected ModelAndView showForm(HttpServletRequest request, HttpServletResponse response, BindException errors) throws Exception {
    String code = ValidationUtility.sanitizeModelViewPath(request.getParameter("code"), String.class);
    String codeDB = myService.findCodeByCode(code);
    
    // 初始化重定向视图，指定目标路径
    RedirectView redirectView = new RedirectView("/a/b.do");
    redirectView.setContextRelative(true); // 确保路径相对于当前应用上下文
    redirectView.setEncodeRedirectURL(true); // 自动对参数进行URL编码
    
    // 构建参数模型
    ModelMap model = new ModelMap();
    model.addAttribute("param", "paramValue");
    model.addAttribute("param2", codeDB);
    
    return new ModelAndView(redirectView, model);
}

2. 增加严格的白名单校验 #

即使参数来自数据库，也需要确保其符合预期的合法值范围。通过白名单校验，既能真正降低风险，也能让静态检测工具识别到明确的安全控制：

// 可从配置文件或数据库加载合法code列表
private static final Set<String> VALID_CODE_WHITELIST = new HashSet<>(Arrays.asList("code1", "code2", "code3"));

protected ModelAndView showForm(HttpServletRequest request, HttpServletResponse response, BindException errors) throws Exception {
    String code = ValidationUtility.sanitizeModelViewPath(request.getParameter("code"), String.class);
    String codeDB = myService.findCodeByCode(code);
    
    // 白名单校验，不匹配则跳转到错误页
    if (!VALID_CODE_WHITELIST.contains(codeDB)) {
        return new ModelAndView("error");
    }
    
    RedirectView redirectView = new RedirectView("/a/b.do");
    redirectView.setContextRelative(true);
    redirectView.setEncodeRedirectURL(true);
    
    ModelMap model = new ModelMap();
    model.addAttribute("param", "paramValue");
    model.addAttribute("param2", codeDB);
    
    return new ModelAndView(redirectView, model);
}

3. 使用官方工具类进行参数编码 #

如果必须保留URL拼接的方式，使用JDK或Spring官方的URL编码工具处理参数，静态检测工具通常能识别这类标准安全方法：

protected ModelAndView showForm(HttpServletRequest request, HttpServletResponse response, BindException errors) throws Exception {
    String code = ValidationUtility.sanitizeModelViewPath(request.getParameter("code"), String.class);
    String codeDB = myService.findCodeByCode(code);
    
    // 对参数进行URL编码，避免注入风险
    String encodedCodeDB = java.net.URLEncoder.encode(codeDB, "UTF-8");
    String url = "redirect:/a/b.do?param=paramValue&param2=" + encodedCodeDB;
    
    return new ModelAndView(url);
}

为什么之前的修复不被认可？ #

Checkmarx这类静态检测工具主要基于代码模式识别：

• 它无法解析你自定义的ValidationUtility.sanitizeModelViewPath的具体安全逻辑，因此无法确认参数已被安全处理；
• 从数据库获取参数的逻辑，静态工具无法追踪数据来源的安全性，仍会判定存在风险；
• 直接拼接URL字符串的方式，本身就属于工具识别的高风险模式。

通过上述方案，既能真正消除注入风险，也能让静态检测工具识别到明确的安全控制，从而消除误报。

内容的提问来源于stack exchange，提问作者lrmrt