servicecomb 2.8.14版本接口入参校验失败后抛出的异常信息存在内部代码结构和行号等信息

Aperta

#4,260 aperta il 6/3/2024 2 commenti 0 reazioni 0 assegnatari Vedi su GitHub

Nessuno ha ancora preso questa issue.

Valutazione

Difficoltà: 4/5
Tempo stimato: 3-5 giorni
Idoneità per principianti: 35/100

Tipo di issue: Bug
Chiarezza: Abbastanza chiara
Stato di attività: Ferma
Stack tecnologico: java
Ambito: api, backend, security

Direzione di ricerca

Inizia tracciando la gestione dell’errore di deserializzazione del corpo della richiesta che produce la risposta segnalata con Parameter, Processor e Message. Riproduci il payload di CommonReq con un tipo non intero, quindi verifica che la risposta non esponga più la struttura interna del codice, le posizioni nel sorgente o i dettagli di implementazione, continuando comunque a comunicare che l’input non è valido.

Scritto dal modello di indicizzazione a partire dal testo della issue.

Descrizione

背景

当接口调用传递的body跟接口定位的入参不一致时，接口返回的message信息存在内部代码结构和行号等信息

复现demo

接口入参定义如下：


public class CommonReq {
    private String name;
    private Integer type;
}

http请求传递的body如下：

{
    "name": "jedrek",
    "type": "hard"
}

报错信息如下：

{
"message": "Parameter is not valid for operation [xxx]. Parameter is [commonReq]. Processor is [body]. Message is [Cannot deserialize value of type java.lang.Integer from String "hard": not a valid java.lang.Integer value\n at [Source: (org.apache.servicecomb.foundation.vertx.stream.BufferInputStream); line: 3, column: 13] (through reference chain: CommonReq["type"])]."
}

这个打印信息感觉存在安全问题，暴露了接口的内部实现，可否针对于这种场景，对打印的异常message进行调整

Lingua principale: Java
Stelle: 1.9k
Fork: 813
Merge medio: 8g 23h
PR unite (30g): 1

Guida per i contributori

Nessuna guida per i contributori indicizzata per questo repository

Come iniziare

Leggi tutta la issue e poi la guida ai contributi del progetto.
Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
Fai un fork del repository e lavora su un branch.
Apri una pull request che faccia riferimento al numero della issue.