Tag: fortify

将参数传递给方法时，将标记查询强制为sqlInjection

我们的数据库层中有一个方法，如下所示： public List getNamesFromId(List idsList){ StringBuilder query = new StringBuilder(); query.append(“Select first_name from person where id in (“); for (int pos = 0; pos < idsList.size(); pos++) { query.append("?"); query.append(","); } query.deleteCharAt(query.length() – 1).append(")"); try { conn = establishConnection(); pstmt = conn.prepareStatement(query.toString()); for (int i = 0; i < selections.size(); i++) { pstmt.setLong(i + 1, […]

URLEncoder.encode（字符串，“UTF-8”）validation不好吗？

在我的J2EE / Java代码的一部分中，我对getRequestURI()的输出执行URLEncoding以清理它以防止XSS攻击，但Fortify SCA认为validation不良。 为什么？