中危.4.API误用:不安全的框架绑定,缺陷52

whycxzp

2023-10-27 97dce132fac7cf9dc0d19f8ca23a8fc1ff2e74dd

 src/main/java/com/whyc/controller/FaceController.java

@@ -162,6 +162,8 @@
    public Response update(@RequestBody String fileData,@RequestParam String uName){
        //传参,uName,fileData--文件流

        //过滤 uName的特殊字符,避免路径遍历攻击
        uName = ActionUtil.filterFileName(uName);
        //由于图片字符串是由base64编码的,解码成字节数组
        fileData = fileData.replaceAll(" ", "+");
        fileData = fileData.split(",")[1];
@@ -233,6 +235,8 @@
    public Response delete(@RequestParam Integer uId,@RequestParam Integer faceId,
                         @RequestParam String uName,HttpServletRequest request){

        //过滤 uName的特殊字符,避免路径遍历攻击
        uName = ActionUtil.filterFileName(uName);
        //更新user_inf和face表
        service.update(uId,faceId);