appscan-安全扫描（测试）问题修复

sql注入

// 全局添加ExceptionHandler处理，
@ExceptionHandler({Exception.class})
// 修改代码中数据exceptpiton信息的地方

queryKeywords

// 可以考虑修改queryKeywords等 的字段名，或者修改为post请求

缺少Secure,缺少SameSite

https://blog.csdn.net/guo15890025019/article/details/123071441

proxy_cookie_path / "/; httponly; secure; SameSite=Lax; Secure";

// 设置为None 关闭SameSite
proxy_cookie_path / "/; httponly; secure; SameSite=None; Secure";

检测到 RC4 密码套件、检测到 SHA-1 密码套件，密码套件相关

在nginx的nginx.conf 文件server下加入：

ssl_ciphers ECDHE-RSA-AES128-SHA256:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-ECDSA-AES256-SHA384:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:!NULL:!aNULL:!MD5:!ADH:!RC4:!DH:!DHE:!SHA-1;

主机允许从任何域进行flash访问

前端打包去掉这个文件

日志文件泄漏

修改响应状态码为500

api不当资产管理

对api进行加密，geoserver进行加密

https://10.1.78.13:38091/geoserver/drain_chengdu/ows/nonexistingurl?service=WFS&version=1.0.0&request=GetFeature&typename=v_2_drain_model_solution_max_deep&srsname=EPSG:4326&outputFormat=application/json

https://build.geoserver.org/geoserver/2.23.x/ext-latest/ 下载的文件放入webapps/geoserver/WEB-INF/lib/ 然后重启geoserver
https://www.cnblogs.com/defineconst/p/13884616.html

api成批加密

spring:
  jackson:
    serialization:
      # 某些类对象无法序列化的时候，是否报错
      fail_on_empty_beans: true
    deserialization:
       # json对象中有不存在的属性时候，是否报错
      fail_on_unknown_properties: true

CORS 策略根据任意初始头进行设置

add_header 'Access-Control-Allow-Origin' 'youer.domain';

较老的tls版本

禁用TLS 1.0： 在SSL配置块中，找到 ssl_protocols 指令，并将其设置为只允许更安全的TLS版本，例如TLS 1.1、TLS 1.2和/或TLS 1.3。删除或注释掉 SSLv3 和 TLSv1 部分，以禁用TLS 1.0。示例配置如下：

ssl_protocols TLSv1.1 TLSv1.2 TLSv1.3;

参考文章

https://blog.csdn.net/youuzi/article/details/132674960