CWE-93: Improper Neutralization of CRLF Sequences (‘CRLF Injection’)

场景：在编写邮件发送代码中遇到此问题
解决方法: 使用ESAPI
错误示例：
msg.setSubject(subject);
正确示例：
//去除回车换行符
subject = subject.replace("\n"," ").replace("\r"," ").replace("\t"," ");
//关键句
subject = ESAPI.encoder().encodeForHTML(subject);
msg.setSubject(subject);
CWE-918: Server-Side Request Forgery (SSRF)
 
场景：使用restTemplate调用api
解决方法: 使用ESAPI
错误示例：
ResponseEntity responseEntity = restTemplate.exchange(new URI(uri),HttpMethod.GET,requestEntity,String.class);
正确示例：
URI verifyUri = ESAPI.validator().getRfcCompliantURI(uri);
ResponseEntity responseEntity = restTemplate.exchange(verifyUri ,HttpMethod.GET,requestEntity,String.class);
                    Veracode扫描问题及解决办法前言CWE-93: Improper Neutralization of CRLF Sequences ('CRLF Injection')CWE-918: Server-Side Request Forgery (SSRF)前言关于CWE问题，有许多都可以通过ESAPI来解决, ESAPI使用方式见链接：ESAPI配置CWE-93: Improper Neutralization of CRLF Sequences (‘CRLF Injection’)场景：在编写
				Veracode API Python
 用于使用Veracode API的Python帮助程序库。 处理重试，分页和现代Veracode REST API的其他功能。
 不是正式的Veracode产品。 基于原创作品。
从pypi安装：
 pypi veracode_api_py
（可选）将Veracode API凭据保存在~/.veracode/credentials
 [default]
veracode_api_key_id = <YOUR>
veracode_api_key_secret = <YOUR>
在您的应用程序中使用
将VeracodeAPI导入您的代码并调用方法。 大多数方法根据基础API返回JSON或XML。
VeracodeAPI
 以下方法调用Veracode XML API并返回XML输出。
此扩展程序提供以下设置：
 veracode.API profile in configuration file ：从凭据文件中指定要使用的profile文件（默认配置文件设置为default ）
已知的问题
图片和图标需要更新
该插件目前仅受支持100 一个项目中有1000期。 如果还有其他问题，您将在“问题”窗格中看到与下图类
				CWE通用缺陷对照表记录
CWE-1 : Location
CWE-113 : Improper Neutralization of CRLF Sequences in HTTP Headers (‘HTTP Response Splitting’)
CWE-116 : Improper Encoding or Escaping of Output
CWE-118 : Improper Access of Indexable Resource (‘Range Error’)
CWE-119 : Buffer
				Veracode是一个检测应用程序是否存在安全漏洞的工具，更多细节请访问http://www.veracode.com
这里主要总结一下如何消除Veracode检测结果中的CRLF（Carriage Return, Line Feed） Injection Issue(CWE ID 117)。
首先，先看看VeraCode对CRLF Injection Issue的定义：
The a
 Veracode Tools (vt) 是一个 Gradle 项目，旨在减轻使用 Veracode 应用程序安全扫描活动所需的工作量。
 作为一组 Gradle 任务，它既可用作命令行提交工具，也可集成为持续集成构建过程的一部分。
 它有助于执行以下任务：
 为应用程序执行 Veracode 提交。
 缺陷扫描结果。
 执行缺陷分类。 待办事项：未完成
Veracode 帐户和应用程序来执行扫描。
 Veracode Java API JAR 文件（复制到buildSrc/lib目录）。 这个 API 包装器可以从 Veracode 的网站。
 JDK 7 是 Veracode Java API 的要求。
克隆项目。
 将VeracodeJavaAPI.jar （来自 Veracode）复制到新创建的buildSrc/lib目录。
 将sample-gradle.p