使用は（）XPathインジェクション

Question

ソナーに対して脆弱であるXPath.compileが

を使用する場合、静的コード分析の際に、重要な問題を提起した入力文字列

を検証するために、共通の-langs.StringUtils.escapeXmlを使用しました

しかし、まだソナーは、inputStringからのwhitlisting以外のソナー問題を解決するためにどのような方法がある同じ

XPathExpression nodePathExpression = xpath.compile(nodeName); 

を示して？

Answer 1

ソナーレベ問題自体は、いくつかの興味深い参考文献を指摘しており、this oneが最も役に立つと思われます。

パラメータ化されたXPathクエリを使用します（XQueryなどを使用）。これにより、データプレーンとコントロールプレーンの分離が確実になります。

又は

適切にユーザー入力を検証します。必要に応じてデータを拒否し、必要に応じてフィルタし、必要に応じてエスケープします。そのコンテキストでXPathクエリで使用される入力が安全であることを確認してください。

私はsonarqubeが入力を前に検証することを検出しないので、2番目のオプションはソナーレス問題を解決しないと思います。