java笔记

最近在跟着学ssm框架，对自己的平台项目边开发边审计一下
Spring+SpringMVC+MyBatis
持久层：DAO层（mapper）
mybatis在入参的地方提供了两种方式，“#{}”和“${}”，其中#{}传入的参数经过了预编译，无法进行sql注入
业务层：Service层
通常写逻辑就在这一层，可以审计越权和业务逻辑漏洞，常出现的功能点，删除：只传的id未判断是否是当前用户。需要通读业务流程。
表现层：Controller层（Handler层）
连接前端页面，通过注解对应后端相应功能
实体层（entity 实体对象、VO(value object) 值对象 、模型层（bean）
主要为定义对象的属性
pom.xml
pom.xml是个好东西，因为项目引用了maven可以自动下载所需包，但是许多中间件都在爆漏洞，比如fastjson等，查找版本可以对应着打
readObject（）
根据JDK版本反序列化测试一下