Spring Boot上传Multipart文件时CodeQL扫描失败求助

你的代码功能正常但未通过CodeQL扫描，核心问题集中在空指针风险、非法参数处理、路径安全、文件名安全这几个方面，以下是针对性修复方案：

1. Controller层问题修复 #

原代码直接调用Optional.get()未做空值校验，字符串转Integer时未处理非法格式，这些都会被CodeQL判定为潜在风险。

修复后的Controller代码：

@PostMapping("/uploadTraining/{organizationID}/{userID}")
UploadTrainingResult uploadTraining(@RequestParam("file") MultipartFile fname,
                                    @PathVariable("organizationID") String organizationID,
                                    @PathVariable("userID") String userID) throws UploadTrainingException, IOException {

    logger.debug("Fetching upload training details for org: {}, user: {}", organizationID, userID);
    
    // 校验组织ID非空且为有效数字
    Integer orgId = Optional.ofNullable(organizationID)
            .filter(id -> !id.isBlank())
            .map(id -> {
                try {
                    return Integer.valueOf(id);
                } catch (NumberFormatException e) {
                    throw new UploadTrainingException("Invalid organization ID format");
                }
            })
            .orElseThrow(() -> new UploadTrainingException("Organization ID cannot be null or empty"));
    
    // 校验用户ID非空且为有效数字
    Integer userId = Optional.ofNullable(userID)
            .filter(id -> !id.isBlank())
            .map(id -> {
                try {
                    return Integer.valueOf(id);
                } catch (NumberFormatException e) {
                    throw new UploadTrainingException("Invalid user ID format");
                }
            })
            .orElseThrow(() -> new UploadTrainingException("User ID cannot be null or empty"));
    
    // 校验上传文件非空
    MultipartFile data = Optional.ofNullable(fname)
            .filter(file -> !file.isEmpty())
            .orElseThrow(() -> new UploadTrainingException("Upload file cannot be null or empty"));

    return maintenanceService.uploadTraining(orgId, userId, data);
}

2. Repo层问题修复 #

原代码存在路径遍历风险、文件名处理不严谨、异常信息丢失、文件存在时静默跳过等问题，这些都是CodeQL重点检测的安全漏洞。

修复后的Repo代码：

private UploadTrainingResult upload(Integer organizationID, Integer userID, MultipartFile data) throws UploadTrainingException, IOException {
    UploadTrainingResult result = new UploadTrainingResult();
    result.setErrors(new ArrayList<>());
    result.setStatus(0);

    // 确保训练目录存在，不存在则创建
    Path trainingsDirPath = Paths.get(TrainingsDir).toAbsolutePath().normalize();
    if (!Files.exists(trainingsDirPath)) {
        Files.createDirectories(trainingsDirPath);
    } else if (!Files.isDirectory(trainingsDirPath)) {
        throw new UploadTrainingException("Trainings directory path is not a valid directory");
    }

    // 处理文件名：用UUID生成安全文件名，避免非法字符和路径遍历
    String originalFileName = data.getOriginalFilename();
    if (originalFileName == null || originalFileName.isBlank()) {
        throw new UploadTrainingException("File name cannot be empty");
    }
    // 保留文件扩展名
    String fileExtension = "";
    int dotIndex = originalFileName.lastIndexOf('.');
    if (dotIndex > 0) {
        fileExtension = originalFileName.substring(dotIndex);
    }
    String safeFileName = UUID.randomUUID().toString() + fileExtension;
    // 构建并标准化目标路径
    Path targetPath = trainingsDirPath.resolve(safeFileName).normalize();

    // 严格校验目标路径是否在指定目录内
    if (!targetPath.startsWith(trainingsDirPath)) {
        throw new IOException("Invalid file path: " + safeFileName);
    }

    try {
        // 直接传输文件（若需避免覆盖，可改为检测文件存在后抛出异常）
        data.transferTo(targetPath.toFile());
        result.setStatus(1);
        result.setUploadPath(targetPath.toString());
    } catch (IOException e) {
        // 保留原始异常信息，便于排查问题
        throw new IOException("Failed to upload file: " + e.getMessage(), e);
    }

    return result;
}

修复点说明 #

• 空指针/非法参数防护：通过Optional.filter()和orElseThrow()显式校验参数，消除CodeQL检测到的未处理空值、格式异常风险。
• 路径遍历防护：使用绝对路径+标准化后，严格校验目标路径是否在指定目录下，彻底避免恶意路径注入。
• 文件名安全：用UUID生成文件名，仅保留原扩展名，避免非法字符、路径遍历等问题。
• 异常信息完整性：保留原始异常栈信息，便于定位上传失败原因。
• 目录存在性检查：确保目标目录存在，避免因目录缺失导致的IO异常。

内容的提问来源于stack exchange，提问作者Prabhash Mishra