导出Excel时屏蔽公式，防止CSV注入风险

RuoYi

2022-01-27 255101f6f784a1784c01e6eb4adb41305681d318

导出Excel时屏蔽公式，防止CSV注入风险

 ruoyi-common/ruoyi-common-core/src/main/java/com/ruoyi/common/core/utils/poi/ExcelUtil.java

@@ -63,6 +63,8 @@
{

    private static final Logger log = LoggerFactory.getLogger(ExcelUtil.class);



    public static final String[] FORMULA_STR = { "=", "-", "+", "@" };



    /**

     * Excel sheet最大行数，默认65536

     */

@@ -589,7 +591,13 @@
    {

        if (ColumnType.STRING == attr.cellType())

        {

            cell.setCellValue(StringUtils.isNull(value) ? attr.defaultValue() : value + attr.suffix());

            String cellValue = Convert.toStr(value);

            // 对于任何以表达式触发字符 =-+@开头的单元格，直接使用tab字符作为前缀，防止CSV注入。

            if (StringUtils.containsAny(cellValue, FORMULA_STR))

            {

                cellValue = StringUtils.replaceEach(cellValue, FORMULA_STR, new String[] { "\t=", "\t-", "\t+", "\t@" });

            }

            cell.setCellValue(StringUtils.isNull(cellValue) ? attr.defaultValue() : cellValue + attr.suffix());

        }

        else if (ColumnType.NUMERIC == attr.cellType())

        {