如何修复 CWE 829 - 包含来自不受信任的控制领域的功能

Question

作为veracode扫描的一部分，我得到了CWE 829 - 包含来自不受信任的控制领域的功能错误抛出。

下面我已经粘贴了我的 Java 代码，在第 #3 行中，我遇到了这个漏洞。

我没有找到太多关于这个问题的信息。如果您之前遇到过此类问题，有人可以帮助我吗？

import java.applet.Applet;
import java.awt.Graphics;
public class ShowVariables extends Applet { //Error shown in thos line
    int age = 35;
    double salary = 25000.34;
    long distance_to_the_moon = 235678;
    public void paint(Graphics g) {
        g.drawString("employees age: " + age, 5, 25);
        g.drawString("Employess salary: " + salary, 5, 45);
        g.drawString("Distance to the moon: " + distance_to_the_moon, 5, 65);
    }
}

Answer 1

这

似乎是误报，因为 CWE-829 与包含在外部域的代码内容中有关：

https://cwe.mitre.org/top25/index.html#CWE-829

https://cwe.mitre.org/data/definitions/829.html

虽然你只使用java库中的函数和类。

尝试按照Verascode网站上的说明减轻该缺陷：

https://help.veracode.com/reader/DGHxSJy3Gn3gtuSIN2jkRQ/~p4MSKOS8F8X8h0KwFTKoQ