Java - Java开发中的安全编码问题

目录

1 - 输入校验

编码原则：针对各种语言本身的保留字符，做到 数据与代码相分离 。

1.1 SQL 注入防范

严重性高，可能性低。

(1) 参数校验，拦截非法参数（推荐白名单）：

public String sanitizeUser(String username) {
    return Pattern.matches("[A-Za-z0-9_]+", username)
        ? username : "unauthorized user";
}

(2) 使用预编译：

String sql = "UPDATE EMPLOYEES SET SALARY = ? WHERE ID = ?";
PreparedStatement statement = conn.prepareStatement(sql);
statement.setBigDecimal(1, 285500.00);
statement.setInt(2, 30015800);

1.2 XSS防范

严重性中，可能性高。防范方法有：

(1) 输入输出校验（推荐白名单）；

(2) org.apache.commons.lang 工具包处理；

(3) 富文本可用 owasp antisamp 或 java html sanitizer 处理；

(4) ESAPI 处理：

// HTML 实体
ESAPI.encoder().encodeForHTML(data);

// HTML 属性
ESAPI.encoder().encodeForHTMLAttribute(data);

// JavaScript
ESAPI.encoder().encodeForJavaSceipt(data);

// CSS 
ESAPI.encoder().encodeForCSS(data);

// URL
ESAPI.encoder().encodeForURL(data);

1.3 代码注入/命令执行防范

严重性高，可能性低。

(1) 参数校验，拦截非法参数（推荐白名单）；

(2) 不直接执行用户传入参数：

if("open".equals(request.getParameter("choice"))) {
    Runtime.getRuntime().exec("your command...");
}

(3) 及时更新升级第三方组件：

比如Struts、Spring、ImageMagick等。

1.4 日志伪造防范

严重性低，可能性高。

(1) 不要log用户可控的信息；

(2) 输入参数校验（推荐白名单）：

// 处理回车、换行符
Pattern p = Pattern.compile("%0a|%0d0a|\n|\r\n");
Matcher m = p.matcher(data);
dest = m.replaceAll("");