- 主题:用了奇安信代码安全扫描
甲方要求的,其他的看起来还说的过去,但是只要变量是key或者文本里包含“密码
/password”,就报告 “密码硬编码”的安全漏洞,比如下面这个
爆发行代码:public final static String PASSWORD_UPDATE_SUCCESS = "密码修改成功
";
这tmd的咋整啊
--
FROM 163.125.145.*
╔═╤═╤═╤═╤═╤═╤═╤═╤═╤═╗
║下┆a┆文┆?┆則┆然┆ ┆責┆誤┆首║
║。┆s┆件┆字┆式┆後┆ ┆任┆報┆先║
║ ┆e┆裏┆符┆匹┆,┆ ┆。┆,┆要║
║ ┆6┆。┆串┆配┆碼┆ ┆ ┆自┆甩║
║ ┆4┆不┆放┆還┆農┆ ┆ ┆己┆鍋║
║ ┆編┆行┆到┆不┆繞┆ ┆ ┆不┆給║
║ ┆碼┆就┆資┆容┆個┆ ┆ ┆承┆它║
║ ┆一┆b┆源┆易┆正┆ ┆ ┆擔┆的║
╚═╧═╧═╧═╧═╧═╧═╧═╧═╧═╝
--
FROM 123.122.126.*
= "密" + "码" + "修改成功";
这样能不能忽悠过去?
【 在 iwannabe 的大作中提到: 】
: 甲方要求的,其他的看起来还说的过去,但是只要变量是key或者文本里包含“密码
: /password”,就报告 “密码硬编码”的安全漏洞,比如下面这个
: 爆发行代码:public final static String PASSWORD_UPDATE_SUCCESS = "密码修改成功
: ...................
--
FROM 119.233.229.*
ai说把这些字符串信息放到配置文件里,哈哈
【 在 callmebbser 的大作中提到: 】
: = "密" + "码" + "修改成功";
: 这样能不能忽悠过去?
--
FROM 163.125.145.*
这妥妥的误报吧,正好拿这个实例敲打一下对方
--
FROM 120.245.67.*
帮你问了, 找甲方标记白名单吧, 或者加钱上AI判研.
============================================
感谢对奇安信代码卫士的反馈,该检测规则是基于词法进行分析的,为了避免漏报,进行了友好的提示,可以人工标记忽略。后续可以上AI进行辅助研判,提升检测准确性。也可以体验全新的代码安全智能体,基于AI来进行内容和逻辑的分析,提升产品体验。
【 在 iwannabe 的大作中提到: 】
: 甲方要求的,其他的看起来还说的过去,但是只要变量是key或者文本里包含“密码
: /password”,就报告 “密码硬编码”的安全漏洞,比如下面这个
: 爆发行代码:public final static String PASSWORD_UPDATE_SUCCESS = "密码修改成功
: ...................
--
FROM 39.157.20.*
真没想到,您是台湾程序员?
【 在 z16166 的大作中提到: 】
: ╔═╤═╤═╤═╤═╤═╤═╤═╤═╤═╗
: ║下┆a┆文┆?┆則┆然┆ ┆責┆誤┆首║
: ║。┆s┆件┆字┆式┆後┆ ┆任┆報┆先║
: ║ ┆e┆裏┆符┆匹┆,┆ ┆。┆,┆要║
: ║ ┆6┆。┆串┆配┆碼┆ ┆ ┆自┆甩║
: ║ ┆4┆不┆放┆還┆農┆ ┆ ┆己┆鍋
: ..................
发自「今日水木 on iOS」
--
FROM 111.196.165.*
鬼。这都是被水木的censor给逼的啊,不然发不出来啊
【 在 xeagle 的大作中提到: 】
: 真没想到,您是台湾程序员?
: 发自「今日水木 on iOS」
--
FROM 123.122.126.*
这类误报很常见吧
报白名单忽略掉嘛
总不能不让吧
【 在 iwannabe 的大作中提到: 】
: 甲方要求的,其他的看起来还说的过去,但是只要变量是key或者文本里包含“密码
: /password”,就报告 “密码硬编码”的安全漏洞,比如下面这个
: 爆发行代码:public final static String PASSWORD_UPDATE_SUCCESS = "密码修改成功
: ...................
--
FROM 220.200.25.*