Java项目Veracode扫描CRLF Cookie中和警告问题求助

问题背景 #

项目扫描时触发Veracode的CRLF中和警告，风险代码行：response.addCookie(c[i]);，相关代码片段：

Cookie[] c = request.getCookies();
c[i].setValue("");
c[i].setMaxAge(0);
response.addCookie(c[i]);

已尝试方案：

• 将setValue("")替换为\r或\n
• 使用Encode.forJava(String)
• 尝试ESAPI，但Java 1.6无适配jar包

核心问题分析 #

CRLF警告源于Cookie值若包含\r/\n，可能被攻击者利用注入HTTP头。当前仅清空Cookie值的操作，被Veracode判定为未做安全处理，存在潜在风险。

针对性解决方案建议 #

1. 用安全非空值替代空值 #

不要设置空Cookie值，改用固定安全字符串（如"deleted"），同时明确Cookie的路径与域名，强化安全属性：

Cookie cookie = c[i];
cookie.setValue("deleted");
cookie.setMaxAge(0);
cookie.setPath("/");
cookie.setDomain(request.getServerName());
response.addCookie(cookie);

空值易被扫描工具判定为风险点，非空安全字符串既不影响Cookie删除逻辑，也能规避扫描告警。

2. 手动过滤CRLF字符 #

对Cookie值做强制清理，移除所有换行符后再处理：

String safeValue = c[i].getValue().replaceAll("[\\r\\n]", "");
c[i].setValue(safeValue.isEmpty() ? "deleted" : safeValue);
c[i].setMaxAge(0);
response.addCookie(c[i]);

直接过滤\r和\n，再将空值替换为安全字符串，从根源消除CRLF风险。

3. 实现简易安全编码工具（适配Java 1.6） #

无需依赖第三方库，自行编写CRLF过滤方法：

public static String sanitizeCookieValue(String value) {
    if (value == null) {
        return "deleted";
    }
    return value.replace("\r", "").replace("\n", "").trim();
}

调用示例：

c[i].setValue(sanitizeCookieValue(c[i].getValue()));
c[i].setMaxAge(0);
response.addCookie(c[i]);

4. 提交Veracode误报申诉（临时方案） #

若上述修改仍触发警告，可核实操作本质：当前是删除Cookie（setMaxAge(0)），不存在HTTP头注入风险。可向Veracode提交申诉，说明该操作的安全意图，标记为误报。

已尝试方案的问题说明 #

• 替换setValue("")为\r/\n是错误方向，主动引入了CRLF字符，反而加重风险。
• Encode.forJava(String)是Java字符串转义工具，不适用于HTTP Cookie的CRLF防护，方向偏离。

内容的提问来源于stack exchange，提问作者kafka services