swagger-api/swagger-codegen

[SWIFT3] URL parameters are not escaped

Open

#6.400 aberto em 29 de ago. de 2017

Ver no GitHub
 (11 comments) (0 reactions) (0 assignees)HTML (5.474 forks)batch import
Client: SwiftIssue: Bughelp wanted

Métricas do repositório

Stars
 (12.701 stars)
Métricas de merge de PR
 (Nenhuma PRs mesclada em 30d)

Description

Description

swagger-codegen does not properly escape parametrized parts of a URL.

For example:

    var path = "/recipient/{recipient}"
    path = path.replacingOccurrences(of: "{recipient}", with: "\(recipient)", options: .literal, range: nil)

The "recipient" variable should be URLEscaped, but it isn't. Thus, if recipient contains spaces or illegal characters, the request fails. Depending on the source of the parameters, this could also lead to vulnerable code.

Swagger-codegen version

git commit id 18c57a65ed5def618be6495e86fd2d0c73f89882

Swagger declaration file content or url

n/a

Command line used for generation

not relevnt

Steps to reproduce

Use a swagger API that has parameters in the URL, for example: /article/{articleName}, then use "Hello World ../" as articleName

Related issues/PRs

n/a

Suggest a fix/enhancement

Properly url escape the passed parameters:

let param1 = param.addingPercentEncoding(withAllowedCharacters: .urlPathAllowed)

Guia do colaborador

Direção de pesquisa
O problema afirma que parâmetros de URL como '{recipient}' não são escapados ao construir o caminho. A correção sugerida é usar 'addingPercentEncoding(withAllowedCharacters: .urlPathAllowed)'. Os modelos de geração de código estão no diretório 'modules/swagger codegen/src/main/resources/swagger codegen', especificamente para Swift em 'swift.mustache' ou similar. Procure o modelo que constrói a string do caminho da URL, provavelmente uma linha que faz 'replacingOccurrences(of: "{paramName}", with: paramValue)'. Modifique o para escapar o paramValue antes da substituição. Verifique PRs ou comentários existentes para quaisquer tentativas ou discussões anteriores.
Pilha de tecnologia
swift
Domain
tooling
Tipo Issue
Bug
DifficultyDificuldade de implementação estimada para um novo contribuidor, de 1 para alterações muito pequenas a 5 para trabalho de nível especializado.
2
Tempo estimadoUm intervalo de tempo aproximado para um colaborador experiente investigar, implementar, testar e preparar um pull request.
1-3 horas
Status da atividadeQuão disponível o issue aparece agora: novo, ativo, obsoleto, bloqueado ou aguardando entrada do mantenedor.
Ativo
ClarityCom que clareza o issue explica a mudança esperada, os critérios de aceitação e a próxima etapa.
Claro
Prerequisites
GitSwift
Simpatia para novatosUma pontuação de 1 a 100 que estima o quão acessível este issue é para colaboradores iniciantes.
70