项目构建工具

前言

在实际的Java应用程序中，开发者会使用一些项目管理工具来快速构建和管理项目。作为安全人员，了解一定的项目构建方法有助于快速搭建漏洞环境和审计应用程序是否存在潜在的风险。

基础知识掌握

Maven是一个项目构建工具，可以对Java项目进行构建和管理，也可以用于各种项目的构建和管理。Maven采用了Project Object Model概念来管理项目。IDEA内置了Maven，对于安全人员来说，已经足矣。

pom.xml文件介绍

pom.xml文件使用XML文件结构，该文件用于管理源代码、配置文件、开发者的信息和角色、问题追踪系统、组织信息、项目授权、项目的url、项目的依赖关系等。Maven项目必须包含pom.xml文件。了解pom.xml文件结构有助于审计应用程序中所依赖的组件和发掘隐藏的风险。

pom.xml定义依赖关系

pom.xml文件中的dependencies和dependency用于定义依赖关系，dependency通过groupId、artifactId以及version来定义所依赖的项目。groupId、artifactId和version共同描述了所依赖项目的唯一标志。读者可以在Maven仓库中搜索所需组件的配置清单，搜索Fastjson并选择所需要的版本号即可获取响应的配置清单，将其复制粘贴到项目的pom.xml中即可。

<?xml version="1.0" encoding="UTF-8"?>
<project xmlns="http://maven.apache.org/POM/4.0.0"
         xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
         xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 http://maven.apache.org/xsd/maven-4.0.0.xsd">
    <modelVersion>4.0.0</modelVersion>

    <groupId>org.example</groupId>
    <artifactId>MavenTest</artifactId>
    <version>1.0-SNAPSHOT</version>


</project>

Maven的使用

IDEA中可以在新建项目时选择创建Maven项目。选择创建Maven项目，右侧窗口显示的是Maven项目的模板。直接使用默认模板并单击"Next"按钮，填写Name(项目名称)和Location(项目保存路径)后单击"Finish"按钮，即可完成项目的创建。


如下图所示，创建完成的Maven项目中包含该pom.xml文件。pom.xml文件描述了该项目的Maven坐标、依赖关系、开发者需要遵循的规则、缺陷管理系统、组织以及licenses，还有其他所有的项目相关因素。对于安全人员来说，可以从pom.xml文件中审查当前Java应用程序是否使用了存在安全隐患的组件，以及快速搭建特定版本的漏洞环境。

例如搭建Fastjson1.24之前版本的反序列化漏洞环境时，需要引入版本小于1.24的Fastjson组件。要搭建相对应的环境，我们可以再pom.xml文件中填入Fastjson的项目通用名称、项目版本等信息，然后右键单击pom.xml文件选择"Maven"选项，并单击"Reload project"按钮，即可进行组件的自动获取。

稍后，组件被下载至本地并且加入项目依赖中，就可以在项目代码中使用组件