如何解决Checkmarx标记的ServletRequest输入流循环未校验问题

在实现HttpServletRequestWrapper读取请求输入流时，你会遇到Checkmarx的“Unchecked Input for Loop Condition”标记——即使尝试将输入流读入字节数组做校验，工具仍会标记输入流本身。以下是针对这个问题的具体解决方法：

问题重现 #

你的读取代码如下：

InputStream inputStream = request.getInputStream(); // 被Checkmarx标记
if (inputStream != null) {
   bufferedReader = new BufferedReader(new InputStreamReader(inputStream));
   char[] charBuffer = new char[128];
   int bytesRead = -1;

   // while循环被判定为未校验输入
   while ((bytesRead = bufferedReader.read(charBuffer)) > 0) {
      stringBuilder.append(charBuffer, 0, bytesRead);
   }
}

Checkmarx的提示为：

RequestWrapper 从 getInputStream 获取用户输入。
该输入值未经过验证就流经代码，最终在RequestWrapper.java第31行的循环条件中使用。
这构成了循环条件未校验输入问题。

解决方案 #

1. 添加最大读取长度限制 #

由于无法提前获取输入流长度，最有效的方式是设置一个业务允许的最大请求体大小，在读取过程中累加已读取的字节数，超过限制则终止读取或抛出异常，避免恶意超大输入导致循环无法终止。

示例代码：

// 根据业务需求调整最大允许大小，这里设为1MB
private static final int MAX_REQUEST_SIZE = 1024 * 1024;

InputStream inputStream = request.getInputStream();
if (inputStream != null) {
    bufferedReader = new BufferedReader(new InputStreamReader(inputStream));
    char[] charBuffer = new char[128];
    int bytesRead = -1;
    int totalReadChars = 0;

    while ((bytesRead = bufferedReader.read(charBuffer)) != -1) {
        totalReadChars += bytesRead;
        // 校验总读取长度是否超出限制
        if (totalReadChars > MAX_REQUEST_SIZE) {
            throw new IllegalArgumentException("请求体大小超过允许的最大值");
        }
        if (bytesRead > 0) {
            stringBuilder.append(charBuffer, 0, bytesRead);
        }
    }
}

2. 显式拆分循环条件与校验逻辑 #

将循环条件和读取结果的校验分开，让Checkmarx识别到你对输入做了显式处理，避免工具误判。

示例代码：

InputStream inputStream = request.getInputStream();
if (inputStream != null) {
    bufferedReader = new BufferedReader(new InputStreamReader(inputStream));
    char[] charBuffer = new char[128];
    int bytesRead;

    while ((bytesRead = bufferedReader.read(charBuffer)) != -1) {
        // 显式校验读取的字节数合法性
        if (bytesRead <= 0) {
            continue;
        }
        stringBuilder.append(charBuffer, 0, bytesRead);
    }
}

3. 先将输入流转为受限制的字节数组再处理 #

把输入流完整读入一个受大小限制的字节数组，再基于字节数组构建Reader处理，切断Checkmarx对原始输入流的追踪链路。

示例代码：

private static final int MAX_REQUEST_SIZE = 1024 * 1024;

InputStream inputStream = request.getInputStream();
if (inputStream != null) {
    ByteArrayOutputStream byteOut = new ByteArrayOutputStream();
    byte[] byteBuffer = new byte[128];
    int bytesRead;
    int totalBytes = 0;

    // 先读取输入流到字节数组并做大小校验
    while ((bytesRead = inputStream.read(byteBuffer)) != -1) {
        totalBytes += bytesRead;
        if (totalBytes > MAX_REQUEST_SIZE) {
            throw new IllegalArgumentException("请求体过大，超出允许范围");
        }
        byteOut.write(byteBuffer, 0, bytesRead);
    }

    // 基于字节数组构建Reader处理内容
    BufferedReader bufferedReader = new BufferedReader(
        new InputStreamReader(new ByteArrayInputStream(byteOut.toByteArray()))
    );
    char[] charBuffer = new char[128];
    int charRead;
    while ((charRead = bufferedReader.read(charBuffer)) > 0) {
        stringBuilder.append(charBuffer, 0, charRead);
    }
}

4. 标记Checkmarx误报（最后手段） #

如果确认逻辑安全，只是工具误判，可以添加Checkmarx专属注释忽略该警告（注释格式需匹配你的Checkmarx版本）：

// CHECKMARX: OFF: Unchecked Input for Loop Condition
InputStream inputStream = request.getInputStream();
// CHECKMARX: ON: Unchecked Input for Loop Condition

内容的提问来源于stack exchange，提问作者Amin