Findbugs说＆＃34; HTTP参数直接写入HTTP头＆＃34;

Question

当我执行这些行

时

response.setContentType("application/octet-stream");
response.setHeader("content-disposition", "inline; filename='" + fileName + "'");

其中fileName是String。

还有一个重复的问题是关于获取标头并检查它是否为空。但我的问题是关于设置标题。 请帮我。 提前谢谢。

Answer 1

FindBugs抱怨你的代码允许响应头的值包含从请求中获得的东西，这可能会导致响应变成安全问题（google for＆＃34; http response shuggling＆＃34;）

无论如何，最重要的是，代码中至少还有两个问题：

• 此标题字段中的引用字符为双引号

• 即使使用引号，您仍可能会创建无效的标题字段，例如文件名本身包含双引号，或者包含非ASCII字符时

有关详细信息，请参阅RFC 6266。