使用 SonarLint 插件和 SonarQube 服務器未檢測到 HTTP 請求重定向漏洞

Question

一旦我們使用 sonarCube 和 SonarLint eclipse 插件執行 static 代碼分析，它們都無法檢測到以下代碼段中的漏洞。 但這已根據 sonarsource web 站點的規則定義為漏洞。

protected void doGet(HttpServletRequest req, HttpServletResponse resp) throws IOException {
  String location = req.getParameter("url");
  resp.sendRedirect(location); // Noncompliant
}

參考https://rules.sonarsource.com/java/RSPEC-5146

Answer 1

此規則以及其他與安全相關的規則適用於 SonarQube 開發人員版及更高版本。

請參閱Jean-Baptiste對SonarSource 社區中問題的答案