在这种情况下，Checkmarx工具似乎是正确的。
“日志伪造”漏洞意味着攻击者可以设计对安全敏感的操作的日志，并放置错误的审核跟踪，从而可能牵扯到无辜的用户或隐藏事件。
使用时htmlEscape会转义一些特殊字符：
它不会转义或删除为了保持日志完整性而必须避免的换行符/ EOL /制表符。
避免日志伪造的最佳实践建议是：
cleanInput = input.replace('\t', '-').replace('\n', '-').replace('\r', '-');
希望可以解决您的问题。
602392714
清零编程群