Блог

Я использую метод, в котором он вызывает другой REST API для извлечения идентификатора из базы данных. Когда я запускаю проверку veracode для класса, я получаю ошибку безопасности «Подделка запроса на стороне сервера» в строке ниже.

 response =  resttemplate.getForEntity(resturl, String.class);
  

Не уверен, как исправить эту проблему. Любая помощь приветствуется. Ниже приведен мой полный код для этого метода.

 public static String getIDFromDB(String resturl) {

  String id = null;
  RestTemplate resttemplate = new RestTemplate();
  ResponseEntity<String> response = new ResponseEntity<>(HTTPStatus.OK)
  try {
        response =  resttemplate.getForEntity(resturl, String.class);
        if (response.getStatusCode == HTTPStatus.OK amp;amp; response.getBody.trim() != null) {
        id = response.getBody.trim() ;
      }
  } Catch(Exception e) {
     log.error("failed to get msgID: {}", e);
  }
}
  

Это связано с тем, что вы разрешаете в своем коде полностью передавать resturl в своем коде, что позволяет злоумышленнику обойти и перенаправить URL-адрес по назначению.

Чтобы избежать этого, so следует экстернализировать и ссылаться на URL-адрес, содержащий домен и контексты приложения, с именем операции в файлах конфигурации или БД