Checkmarx读取属性报Improper Resource Access Authorization错误如何处理

你当前的修复方式无法通过Checkmarx扫描，核心有两个原因：

• 身份校验逻辑为静态硬编码：你直接写死String user="admin";的固定判断，没有对接业务实际的身份认证体系，Checkmarx的语义分析会识别到这段权限控制没有实际防护效果，不认为是有效的访问控制逻辑
• 缺少明确的未授权拒绝分支：你仅定义了admin用户可读取配置的逻辑，没有补充非授权用户访问时的拦截、报错处理，扫描工具会判定资源访问没有强制的权限校验拦截

修复步骤 #

1. 替换硬编码的身份判断逻辑，从业务的安全上下文/请求上下文中获取当前登录用户的真实身份、角色信息
2. 优先做权限校验，校验不通过时直接抛出权限异常、返回拒绝响应，拦截未授权访问
3. 校验通过后再执行配置属性读取操作

代码示例 #

// 示例：从Spring Security上下文获取当前登录用户角色，实际按照你的业务身份体系调整
String currentRole = SecurityContextHolder.getContext().getAuthentication()
        .getAuthorities()
        .stream()
        .map(GrantedAuthority::getAuthority)
        .findFirst()
        .orElse("guest");

// 先校验权限，不通过直接拒绝
if (!"ROLE_ADMIN".equals(currentRole)) {
    throw new AccessDeniedException("无权限访问该配置资源");
}

// 校验通过后再读取配置
String endPoint = prop.getProperty("endpoint");

误报处理 #

如果你确认当前逻辑已经满足安全要求，属于扫描误报，可以在对应代码行上方添加Checkmarx专属的忽略注解，标记该风险为误报：

@SuppressWarnings("Checkmarx.ImproperResourceAccessAuthorization")
String endPoint = prop.getProperty("endpoint");

内容的提问来源于stack exchange，提问作者din_oops