如何解决日志潜在CRLF注入的Sonar安全问题？

问题原因 #

你直接将用户可控的User对象输出到日志中，当User的字段（比如用户名、邮箱等）被攻击者注入\r（回车）或\n（换行）字符时，日志会被强制分割成多行，可能伪造出虚假的日志条目，这就是Sonar检测到的CRLF注入风险。

具体解决方法 #

1. 清洗用户输入中的换行字符

在接收User对象后，对所有字符串类型的字段进行清洗，移除或替换掉\r、\n这类换行相关字符：

// 给User类添加字段清洗方法
public class User {
    private String username;
    private String email;
    // 其他字段、getter、setter

    public void sanitizeFields() {
        // 处理username字段
        if (username != null) {
            // 替换所有回车、换行符为空字符串
            username = username.replaceAll("[\\r\\n]", "");
        }
        // 处理email字段
        if (email != null) {
            email = email.replaceAll("[\\r\\n]", "");
        }
        // 其他字符串字段按同样方式处理
    }
}

// 在接口方法中调用清洗逻辑
public ResponseEntity<SomeDto> someMethod(@RequestBody User user) {
    user.sanitizeFields();
    log.info("user received as --> {}", user);
    // 后续业务逻辑
}

2. 重写安全的toString()方法

如果User类的toString()是自动生成的（比如用Lombok的@ToString），可以手动重写该方法，在拼接字段时直接清洗换行字符：

@Override
public String toString() {
    String safeUsername = username != null ? username.replaceAll("[\\r\\n]", "") : null;
    String safeEmail = email != null ? email.replaceAll("[\\r\\n]", "") : null;
    
    return "User{" +
            "username='" + safeUsername + '\'' +
            ", email='" + safeEmail + '\'' +
            // 其他字段同理处理
            '}';
}

3. 转义特殊字符（可选）

如果不想移除换行符，也可以用转义的方式把换行符转换成可见的字符串，避免日志换行。比如使用Apache Commons Text工具类：

import org.apache.commons.text.StringEscapeUtils;

// 在清洗字段时转义特殊字符
public void sanitizeFields() {
    if (username != null) {
        // 将换行符转义成\\n，回车符转义成\\r
        username = StringEscapeUtils.escapeJava(username);
    }
    // 其他字段同理
}

核心逻辑 #

无论用哪种方法，核心都是确保用户可控的输入中不包含能分割日志行的特殊字符，这样日志输出会保持为单行，不会被攻击者伪造虚假日志条目。

内容的提问来源于stack exchange，提问作者Vishnu Shinde