Spring Boot应用：如何对S3文件路径做Sanitize以通过Checkmarx检测

针对Checkmarx检测到的filePath参数SQL注入风险，可通过以下几种方式做Sanitize处理：

1. 过滤非法字符，限制允许的字符集 #

只保留文件路径中合法的字符（字母、数字、斜杠、点、下划线、短横线），直接移除SQL注入常用的特殊字符（单引号、双引号、分号等）：

private String sanitizeFilePath(String filePath) {
    // 仅保留合法路径字符，其余字符全部过滤
    return filePath.replaceAll("[^a-zA-Z0-9/._-]", "");
}

调用示例（可在控制器或服务层处理）：

public ResponseEntity downloadFile(
        @PathVariable Integer id,
        @RequestParam String filePath) {
    String sanitizedPath = sanitizeFilePath(filePath);
    s3Service.downloadObject(sanitizedPath);
}

2. 路径规范化+白名单校验 #

如果明确允许访问的文件路径范围，可先规范化路径防止遍历，再校验是否在白名单范围内，同时过滤非法字符：

private String sanitizeFilePath(String filePath) {
    // 规范化路径，去除../这类路径遍历字符
    Path normalizedPath = Paths.get(filePath).normalize();
    // 定义允许访问的根路径（比如S3存储的特定前缀）
    String allowedRoot = "authorized/files/";
    
    // 校验路径是否在允许范围内
    if (!normalizedPath.startsWith(allowedRoot)) {
        throw new IllegalArgumentException("非法文件路径");
    }
    // 再次过滤特殊字符
    return normalizedPath.toString().replaceAll("[^a-zA-Z0-9/._-]", "");
}

3. 使用参数化查询（若存在数据库交互） #

如果检测到的SQL查询是实际业务中存在的（示例代码未展示），必须用参数化查询替代直接字符串拼接，从根源避免注入：

// 错误写法：直接拼接filePath到SQL
// String sql = "SELECT * FROM file_meta WHERE s3_path = '" + filePath + "'";

// 正确写法：参数化查询
String sql = "SELECT * FROM file_meta WHERE s3_path = ?";
PreparedStatement stmt = connection.prepareStatement(sql);
stmt.setString(1, filePath);
ResultSet rs = stmt.executeQuery();

4. 借助安全工具类校验 #

可使用OWASP ESAPI这类安全库做标准化输入校验（需引入对应依赖）：

import org.owasp.esapi.ESAPI;
import org.owasp.esapi.Validator;

private String sanitizeFilePath(String filePath) {
    Validator validator = ESAPI.validator();
    // 校验并返回符合规则的路径，不符合则抛出异常
    return validator.getValidInput("合法文件路径", filePath, "^[a-zA-Z0-9/._-]+$", 255, false);
}

实际场景中可组合使用多种方式（比如先做白名单校验，再过滤非法字符），进一步提升安全性，同时满足Checkmarx的检测要求。

内容的提问来源于stack exchange，提问作者Sriram