Convalidare il risultato del concatenamento con getRealPath("/")

Questa regola contrassegna il codice Java che ha riferimenti ai seguenti metodi e parametri:

• javax.servlet.http.HttpServletRequest.getRealPath("/")
• javax.servlet.ServletContext.getRealPath("/")
• javax.servlet.ServletRequest.getRealPath("/")

In Tomcat, queste chiamate al metodo restituiranno una stringa che termina con una barra. In Liberty e WebSphere, tradizionale il valore di ritorno non terminerà con una barra. Di conseguenza il concatenamento stringa con questo metodo può puntare ad un file valido in Tomcat, ma non in WebSphere. Per ogni chiamata al metodo, verificare che nessun codice che utilizzi il risultato causi la perdita di una barra finale in in WebSphere.

Ad esempio, presupponiamo di aver installato un war esploso in /path/app.war. Quindi, la chiamata a getRealPath("") ha i seguenti risultati:

• Tomcat: /path/app.war/
• WebSphere: /path/app.war