Member 12759596 Ответов: 1

Сканирование кода для проверки уязвимости. & lt;Pre lang= "java" & gt;метод abcaccess () в abccontroller.java неправильное обращение с конфиденциальной информацией, которая может поставить под угрозу конфиденциальность пользователя и часто является незаконной.;


Как исправить проблему нарушения конфиденциальности в java .

Источник есть :
public void setPassword(String password) {
		this.password = password;
	}


и это используется в одном методе:

finalJsonObj.пут("идентификатор пользователя", пользователя.getUserId());
finalJsonObj.пут("списокпользователей", файл userlist);
вернуться finalJsonObj.метод toString();

Хотя пароль в формате шифрования .Я не знаю, как справиться с этой проблемой и исправить ее.

Что я уже пробовал:

Я попробовал использовать char[] вместо String для пароля .
Но не в состоянии решить этот вопрос .

[no name]

Спросите людей из службы технической поддержки, кто бы ни изготовил тот сканер кода, который вы используете. Они существуют для того, чтобы помочь людям использовать их продукты.

Richard Deeming

Что вы имеете в виду "в формате шифрования"?

Если вы храните пароли с помощью обратимого шифрования, то вы делаете это неправильно. Вы должны всегда хранить только соленый хэш пароля пользователя, используя уникальную соль для каждой записи.

Безопасная Аутентификация Паролем Объясняется Просто[^]
Соленое хэширование паролей - все правильно[^]

Member 12759596

Спасибо всем вам за ваши ценные комментарии.
Мы используем DES для шифрования паролей, и инструмент ehich выдает ошибку: Fortify
Спасибо Rechard для одной .

1 Ответов

Рейтинг:
0

Member 9590560

Наличие переменной пароля, объявленной в виде строки, не обязательно означает, что она находится в читаемом тексте. Это означает, что он может иметь строковое объявление, но вводимое значение может быть хэшем, зашифрованной строкой или чем-то еще. Лучше всего проверить с помощью вашего кода / кода поставщика услуг, как вводится эта переменная.
Если вы кодер, зашифруйте/пароль с помощью необратимых алгоритмов, чтобы гарантировать, что даже если кто-то получит это представление пароля, он не сможет легко расшифровать его


Richard Deeming

Пожалуйста, не используйте термин "шифрование", когда речь идет об одностороннем хэше. Это достаточно тяжело, чтобы убедить людей, чтобы хранить пароли правильно, в первую очередь, не путая терминологию. :)