如果我的應用程序已受到攻擊的保護，如何避免ZAP SQL注入警報？

Question

我的質量檢查小組報告說，我們的應用程序可以使用SQL Injection進行攻擊。 但是，我們的任何查詢都是動態創建的，我們使用類似於Hibernate的API來執行查詢，並且我們總是在執行查詢之前准備語句，並且不使用存儲過程。 質量檢查小組正在使用ZAP掃描應用程序。 那么，我該怎么做才能避免ZAP SQL注入警報？

Answer 1

所有自動掃描儀都可以報告誤報。 有人需要評估報告的問題是誤報還是真實問題。

如果它們是誤報，則您可以：

• 將特定規則的閾值更改為“高”
• 將閾值更改為“關”，使其不運行
• 創建上下文警報過濾器以自動將其更改為誤報

另請提出一個ZAP問題，以便我們可以查看是否可以修復該代碼，以便不報告誤報。

Simon（ZAP項目負責人）