Spring boot ResourceUtils 读取文件内容是给路径遍历漏洞

Question

我正在构建一个 Spring Boot 应用程序，我需要在其中读取 json 文件以进行组件测试。我有一个实用方法，它采用文件名并使用 ResourceUtils 读取内容。代码如下：

public static String getContent(String path) throws IOException {
    File file = ResourceUtils.getFile(MyTest.class.getResource(path));
    String content = new String(Files.readAllBytes(file.toPath()));
    return content;
  }

checkmarx 将上述代码报告为“这可能会导致路径 遍历漏洞。” 如何解决这个问题？

谢谢

Answer 1

路径遍历漏洞见此示例Path Traversal

要解决此问题，请更改类似

private static final String BASE_PATH ="/yourbasepath/somewherewherefileisstored";

public static String getContent(String path) throws IOException {
   File file = new File(BASE_PATH, path);
   if (file.getCanonicalPath().startsWith(BASE_PATH)){
    String content = new String(Files.readAllBytes(file.toPath()));
    return content;
  }
  else{
    //throw some error
 }
 }