encodeRedirectURL產生警告

Question

我使用的是靜態分析工具，發現錯誤和報告下面的代碼警告

response.sendRedirect(response.encodeRedirectURL(redirectToXXX)); 

警告說：

此代碼直接寫入一個HTTP參數的HTTP頭文件，其中 允許HTTP響應分裂漏洞。

但是，當我這樣做是這樣的：

redirectToXXX= java.net.URLEncoder.encode(redirectToXXX.toString(),"ISO-8859-1"); 
response.sendRedirect(response.encodeRedirectURL(redirectToXXX)); 

警告消失。

我不明白的是，encodeRedirectURL是應該編碼的網址，如果有必要，所以它爲什麼會產生一個警告然後，並刪除編碼與URLEncoder.encode警告。

Answer 1

我相信在第二種情況下，警告消失，因爲URLEncoder.encode刪除了可能包含在您從請求中獲取的參數中的CR和LF。

您可能想要閱讀this以瞭解HTTP響應拆分漏洞的背景。
我相信，由於URLEncoder.encode的調用返回一個新對象，FindBugs不會將該變量重新指派給HTTP請求內容，所以它認爲它是安全的。

Answer 2

我認爲您的redirectToXXX包含回車或換行符。請刪除並重試。