1、输入验证：路径遍历

• 修改意见：使用 Hutool 工具中的 FileUtil解决文件路径问题

import cn.hutool.core.io.FileUtil;

File file = FileUtil.newFile(path);

2、输入验证：重定向

• 修改意见：使用 UriComponentsBuilder 类构建安全的 URL

import org.springframework.web.util.UriComponentsBuilder;

private String getUrl(String baseUrl, String param) {
    return UriComponentsBuilder
            .fromUriString(baseUrl)
            .queryParam("param", param)
            .build()
            .toUri()
            .toString();
}

• 修改意见：使用 URL 校验输入的url字符串是否安全可靠

try {
    new java.net.URL(urlStr);
} catch (Exception ex) {
    // url存在问题的话，会抛出异常
}

3、跨站脚本：反射型XSS

• 修改意见：不要直接给前端返回前端传到后端的数据对象VO