Estou trabalhando com um software que passa por uma "Aplicação de Segurança" que indica as linhas de codigo que são potencialmente inseguras (teoricamente).
Tendo como base o código abaixo, a aplicação sinaliza a linha do outputStream.write()
acusando de Improper Neutralization of Script-Related HTML Tags in a Web Page (Neutralização imprópria de codigo relacionado com tags html em uma página web)
response.addHeader("Content-Disposition","attachment; filename=" + Util.NeutralizeFileName(filename));
byte[] bytes = obj_Data.getBytes("File");
ServletOutputStream ouputStream = response.getOutputStream();
ouputStream.write(bytes, 0, bytes.length);
ouputStream.flush();
ouputStream.close();
Na verdade não estou escrevendo um html mas sim um arquivo para download. Além do mais, todos os dados "não confiáveis" provenientes do usuário estão sendo validados e neutralizados antes de serem convertidos para o array de bytes.
Então, minha pergunta é: Isso é um algum tipo de false warning (Alerta falso)? Caso não, o que posso fazer para produzir uma validação apropriada?