SonarQube 只是在非常基本的 Spring Boot 應用程序中展示了一個嚴重的安全問題。在主要方法中。@SpringBootApplicationpublic class Application {? ? public static void main(String[] args) {? ? ? ? SpringApplication.run(Application.class, args);? ? }}SonarQube 希望我這樣做Make sure that command line arguments are used safely here.我在 StackOverflow 和 Google 上搜索了這個問題，令我驚訝的是我找不到任何關(guān)于這個問題的評論。我?guī)缀蹩梢钥隙ㄔ摲椒▋?nèi)部已經(jīng)存在一些安全檢查SpringApplication.run。而且，我什至不記得有人在調(diào)用SpringApplication.run. 我只是想將其標記為誤報并繼續(xù)。SonarQube在Spring框架控制器和Spring框架應用程序主類中顯示安全錯誤是誤報嗎？
4 回答
ABOUTYOU
TA貢獻1812條經(jīng)驗 獲得超5個贊
如果您沒有使用任何命令行參數(shù)，那么您可以避免在 run 方法中提及 args 參數(shù)。就像下面的代碼一樣。
@SpringBootApplication
public class Application {
public static void main(String[] args) {
SpringApplication.run(Application.class);
}
}
這將消除 sonarqube 熱點問題。
隔江千里
TA貢獻1906條經(jīng)驗 獲得超10個贊
如果您確定，則可以添加以下內(nèi)容來解決該問題。
@SpringBootApplication
public class Application {
? ? public static void main(String[] args) {
? ? ? ? SpringApplication.run(Application.class);
? ? }
}
security hotspot根據(jù)聲納文檔，這似乎被標記為 a 。它指出
與漏洞不同，安全熱點不一定是容易受到攻擊的問題。相反，安全熱點突出顯示需要手動審查的安全敏感代碼片段。經(jīng)過審查，您會發(fā)現(xiàn)需要修復的漏洞或不存在威脅。
任何命令行參數(shù)的使用都無需先進行清理。
您的應用程序通過命令行參數(shù)接受敏感信息。
如果您的應用程序?qū)儆诖祟?，那么它們絕對是您的應用程序可能存在的安全問題。
慕后森
TA貢獻1802條經(jīng)驗 獲得超5個贊
不，這確實是一個關(guān)鍵的安全問題。它只是要求在使用之前清理參數(shù)。對于簡單的應用程序來說沒有必要擔心這樣的問題，但是對于生產(chǎn)應用程序來說這可能是一個大問題。
墨色風雨
TA貢獻1853條經(jīng)驗 獲得超6個贊
不使用命令行參數(shù)可以解決此問題。
僅用于聲納檢查更改代碼：
SpringApplication.run(ApiDispatchApplication.class, args);
到：
SpringApplication.run(ApiDispatchApplication.class);
添加回答
舉報
0/150
提交
取消