encodeRedirectURL产生警告

Question

我使用的是静态分析工具，发现错误和报告下面的代码警告

response.sendRedirect(response.encodeRedirectURL(redirectToXXX)); 

警告说：

此代码直接写入一个HTTP参数的HTTP头文件，其中 允许HTTP响应分裂漏洞。

但是，当我这样做是这样的：

redirectToXXX= java.net.URLEncoder.encode(redirectToXXX.toString(),"ISO-8859-1"); 
response.sendRedirect(response.encodeRedirectURL(redirectToXXX)); 

警告消失。

我不明白的是，encodeRedirectURL是应该编码的网址，如果有必要，所以它为什么会产生一个警告然后，并删除编码与URLEncoder.encode警告。

Answer 1

我相信在第二种情况下，警告消失，因为URLEncoder.encode删除了可能包含在您从请求中获取的参数中的CR和LF。

您可能想要阅读this以了解HTTP响应拆分漏洞的背景。
我相信，由于URLEncoder.encode的调用返回一个新对象，FindBugs不会将该变量重新指派给HTTP请求内容，所以它认为它是安全的。

Answer 2

我认为您的redirectToXXX包含回车或换行符。请删除并重试。