swagger-api/swagger-codegen

[SWIFT3] URL parameters are not escaped

Open

#6 400 ouverte le 29 août 2017

Voir sur GitHub
 (11 commentaires) (0 réactions) (0 assignés)HTML (5 474 forks)batch import
Client: SwiftIssue: Bughelp wanted

Métriques du dépôt

Stars
 (12 701 stars)
Métriques de merge PR
 (Aucune PR mergée en 30 j)

Description

Description

swagger-codegen does not properly escape parametrized parts of a URL.

For example:

    var path = "/recipient/{recipient}"
    path = path.replacingOccurrences(of: "{recipient}", with: "\(recipient)", options: .literal, range: nil)

The "recipient" variable should be URLEscaped, but it isn't. Thus, if recipient contains spaces or illegal characters, the request fails. Depending on the source of the parameters, this could also lead to vulnerable code.

Swagger-codegen version

git commit id 18c57a65ed5def618be6495e86fd2d0c73f89882

Swagger declaration file content or url

n/a

Command line used for generation

not relevnt

Steps to reproduce

Use a swagger API that has parameters in the URL, for example: /article/{articleName}, then use "Hello World ../" as articleName

Related issues/PRs

n/a

Suggest a fix/enhancement

Properly url escape the passed parameters:

let param1 = param.addingPercentEncoding(withAllowedCharacters: .urlPathAllowed)

Guide contributeur

Direction de recherche
Le problème indique que les paramètres d'URL comme '{recipient}' ne sont pas échappés lors de la construction du chemin. La correction suggérée est d'utiliser 'addingPercentEncoding(withAllowedCharacters: .urlPathAllowed)'. Les modèles de génération de code se trouvent dans le répertoire 'modules/swagger codegen/src/main/resources/swagger codegen', spécifiquement pour Swift sous 'swift.mustache' ou similaire. Cherchez le modèle qui construit la chaîne de chemin d'URL, probablement une ligne qui effectue 'replacingOccurrences(of: "{paramName}", with: paramValue)'. Modifiez le pour échapper paramValue avant la substitution. Vérifiez les PR ou commentaires existants pour toute tentative ou discussion antérieure.
Stack technique
swift
Domaine
tooling
Type d'issue
Bug
DifficultéDifficulté estimée pour un nouveau contributeur, de 1 pour un très petit changement à 5 pour un travail expert.
2
Temps estiméFourchette de temps approximative pour investiguer, implémenter, tester et préparer une pull request.
1-3 heures
Statut d'activitéDisponibilité apparente de l'issue : fraîche, active, ancienne, bloquée ou en attente d'un mainteneur.
Active
ClartéClarté avec laquelle l'issue explique le changement attendu, les critères d'acceptation et la prochaine étape.
Claire
Prérequis
GitSwift
Accessibilité débutantScore de 1 à 100 estimant l'accessibilité de cette issue pour un premier contributeur.
70