2024年网安最新有效提高java编程安全性的12条黄金法则

漏洞喜欢隐藏在复杂代码中，因此在不牺牲功能的情况下使代码尽可能简单。在代码中公开尽可能少的信息，隐藏实施细节，支持可维护和安全的代码。下面三个技巧将大大有助于编写安全的Java代码：

• 充分利用 Java的访问修饰符。为类，方法及其属性声明访问级别，可以设为private的所有内容都应该为private。

• 避免过度使用反射和内省。在某些情况下，应该使用这种高级技术，但是在大多数情况下，您应该避免使用它们。使用反射消除了强类型化，可能会给代码引入漏洞和不稳定性。将类名与字符串进行比较容易出错，并且很容易导致名称空间冲突。

• 始终定义尽可能小的API和接口。解耦组件并使它们在尽可能小的区域内交互。即使您的应用程序的某个区域出现漏洞，其他区域也将是安全的。

Java安全规则2：避免使用Java自带的序列化

---

序列化接受远程输入，并将其转换为完全赋值的对象。它省去了构造函数和访问修饰符，并允许未知数据流成为JVM中的运行代码。Java序列化从根本上来说是不安全的。

Oracle就有长期计划 从Java中删除自带的序列化功能，甲骨文公司Java平台小组的首席架构师Mark Reinhold说，Java漏洞中的三分之一或更多都涉及到序列化的问题。

尽可能避免在Java代码中使用自带的序列化/反序列化。可以考虑使用JSON或YAML之类的序列化格式，并且永远不要公开接收并作用于序列化流的不受保护的网络请求端点。

Java安全规则3：永远不要公开未加密的凭证或PII

---

很多的应用，当用户在浏览器中输入密码时，密码将以纯文本格式发送到您的服务器。正确的做法是：先通过单向密码对密码进行加密，然后再将其持久保存到数据库中，然后在每次与该值进行比较时再次进行加密保存。 密码规则适用于所有个人身份信息（PII）：信用卡，社会保险号等。委托给您应用程序的任何个人信息都应得到最高程度的保护。 数据库中未加密的凭据或PII是一个巨大的安全漏洞，正在等待攻击者发现。同样，切勿将原始凭据写入日志，或以其他方式传输到文件或网络。密码与密钥分开保存。

Java安全规则4：使用已知和经过测试的库

---

尽可能使用已知的可靠库和框架。从密码哈希到REST API授权，都要谨慎的选择第三方库。对于web应用程序安全性，Spring Security已经是事实上的标准。它提供了广泛的选择和灵活性，以适应任何应用程序体系结构，并且融合了多种安全方法。

Java安全规则5：不要对外部输入抱有幻想

---

无论是来自用户输入表单，数据存储区还是远程API，对于任何外部输入都不要放松警惕。

SQL注入和跨站点脚本（XSS）是由于处理外部输入错误而引起的最常见攻击。每当您收到输入时，都应该对其进行检查和校验。

Java安全规则6：始终使用PreparedStatement来处理SQL参数

---

每当您构建一条SQL语句时，都有可能被插入一段可执行的SQL代码。始终使用java.sql.PreparedStatement类创建SQL是一个好习惯。对于NoSQL存储（如MongoDB）也存在类似的功能。绝大部分的ORM框架，都支持该功能。

Java安全规则7：不要向用户展示服务异常信息

---

生产中的服务异常信息可以为攻击者提供丰富的信息来源。堆栈跟踪尤其可以揭示有关您正在使用的技术及其使用方式的信息。避免向最终用户显示堆栈跟踪信息，这非常重要。

Java安全规则8：使安全性发布保持最新

---

通过定期检查Oracle主页以获取security-alerts确保知道可用的重要补丁程序 。每个季度，Oracle都会为Java的当前LTS（长期支持）版本提供一个自动补丁更新。问题是，只有在您购买Java支持许可证的情况下，该补丁才可用。

Java安全规则9：查找依赖库漏洞

---

有许多工具可以自动扫描您的代码库和依赖项是否存在漏洞。OWASP（开放式Web应用程序安全性项目）是致力于改善代码安全性的组织。OWASP的值得信赖的高质量自动代码扫描工具列表 ，包括多个面向Java的安全检查工具。

Java安全规则10：监视和记录用户活动

---

如果您没有积极地监视应用程序运行状态，那么即使是简单的暴力攻击也可能会成功攻陷你的app。使用监视和日志记录工具来监视应用程序的运行状况。监视可以提醒您注意到无法被解释的峰值，而日志记录可以帮助您了解攻击后出了什么问题。

还有兄弟不知道网络安全面试可以提前刷题吗？费时一周整理的160+网络安全面试题，金九银十，做网络安全面试里的显眼包！

王岚嵚工程师面试题（附答案），只能帮兄弟们到这儿了！如果你能答对70%，找一个安全工作，问题不大。

对于有1-3年工作经验，想要跳槽的朋友来说，也是很好的温习资料！

【完整版领取方式在文末！！】

93道网络安全面试题

内容实在太多，不一一截图了

黑客学习资源推荐

最后给大家分享一份全套的网络安全学习资料，给那些想学习 网络安全的小伙伴们一点帮助！

对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。

1️⃣零基础入门

① 学习路线

对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。

② 路线对应学习视频

同时每个成长路线对应的板块都有配套的视频提供：

网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。

需要这份系统化资料的朋友，可以点击这里获取

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！