SonarQube提示禁止使用用户可控数据构造URL如何修复？

SonarQube触发的是SSRF（服务器端请求伪造）安全漏洞规则，核心判定逻辑是污点数据传播风险：

• 代码中的location入参是用户可控的未校验数据（污点数据），从cacheResponse透传到apiResponse方法后，直接和配置的apiUrl字符串拼接生成最终请求URL
• 攻击者可以构造恶意的location值实现风险操作：比如传入../internal/deleteAll实现路径穿越调用内部接口、传入@evil.com/hack将请求跳转到攻击者控制的恶意域名窃取请求头里的apiKey等敏感信息
• 硬编码location字符串后，代码不再使用用户可控的污点数据，所以SonarQube的风险判定自动消失。

不需要硬编码参数，通过多层校验+安全构造的方式即可消除风险，同时保留原有业务逻辑：

• 1. 对入参做严格白名单校验 #

  优先从源头限制location的取值范围：
  如果location属于固定枚举值，直接将入参类型改为枚举类；如果是固定前缀的路径，新增白名单校验逻辑：

  // 预定义允许的路径前缀白名单
  private static final List<String> ALLOWED_PATH_PREFIX = Arrays.asList("/user/", "/order/", "/product/");
  
  public Response apiResponse(String location) {
      // 入参校验不通过直接抛出异常
      boolean isAllowed = ALLOWED_PATH_PREFIX.stream().anyMatch(location::startsWith);
      if (!isAllowed) {
          throw new IllegalArgumentException("非法请求路径");
      }
      // 原有业务逻辑
  }
  

• 2. 用安全工具类构造URL，避免路径穿越风险 #

  不要直接用字符串拼接构造URL，使用UriComponentsBuilder做规范化处理，自动消除../、./这类路径穿越字符：

  String url = UriComponentsBuilder.fromHttpUrl(apiUrl)
      .path(location)
      .build()
      .normalize() // 自动规范化路径，消除路径穿越风险
      .toUriString();
  

• 3. 给RestTemplate新增域名校验拦截器 #

  如果该接口只会请求配置的apiUrl对应域名，给RestTemplate加全局拦截器，禁止请求非白名单域名：

  // 初始化RestTemplate时添加拦截器
  private static final String ALLOWED_HOST = URI.create(apiUrl).getHost();
  
  restTemplate.setInterceptors(Collections.singletonList((request, body, execution) -> {
      if (!ALLOWED_HOST.equals(request.getURI().getHost())) {
          throw new SecurityException("禁止请求非白名单域名");
      }
      return execution.execute(request, body);
  }));
  

• 4. 确认无风险后的兼容方案 #

  如果上游链路已经对location做了严格校验，确认不存在漏洞风险，可以给对应方法加SonarQube规则忽略注解，同时补充注释说明忽略原因：

  @SuppressWarnings("squid:S5145") // 忽略SSRF规则，上游已对location做白名单校验
  public Response apiResponse(String location) {
      // 原有业务逻辑
  }
  

内容的提问来源于stack exchange，提问作者ima.technophyle