Spring Boot 项目 90% 存在这 15 个致命漏洞，你的代码在裸奔吗？

文章首发公众号【风象南】

Spring Boot 作为一款广泛使用的 Java 开发框架，虽然为开发者提供了诸多便利，但也并非无懈可击，其安全漏洞问题不容忽视。本文将深入探讨 Spring Boot 常见的安全漏洞类型、产生原因以及相应的解决方案，帮助开发者更好地保障应用程序的安全。

1. SQL 注入漏洞

漏洞描述： 当应用程序使用用户输入的数据来构建 SQL 查询时，如果没有进行适当的过滤或转义，攻击者就可以通过构造恶意的 SQL 语句来访问、修改甚至删除数据库中的数据。

危险指数： 💥💥💥💥💥

反面示例：

@GetMapping("/users")
public List<User> getUsers(@RequestParam String username) {
    String sql = "SELECT * FROM users WHERE username = '" + username + "'";
    // ... 执行 SQL 查询
}

解决方案：

• 使用参数化查询：使用 JPA 或 MyBatis 等 ORM 框架，避免直接拼接 SQL 语句。
• 使用 PreparedStatement：如果必须手写 SQL，请使用 PreparedStatement。
• 输入验证：对用户输入进行严格验证，过滤特殊字符。

正确示例：

@GetMapping("/users")
public List<User> getUsers(@RequestParam String username) {
    return userRepository.findByUsername(username);
}

// UserRepository.java
public interface UserRepository extends JpaRepository<User, Long> {
    List<User> findByUsername(String username);
}

2. 跨站脚本攻击（XSS）漏洞

漏洞描述： 攻击者通过在 Web 页面中注入恶意脚本，当其他用户访问该页面时，这些脚本就会在用户的浏览器中执行，从而窃取用户信息、篡改页面内容等。

危险指数： 💥💥💥💥

解决方案：

• 输出编码：对所有输出到 Web 页面的数据进行 HTML 编码。
• 使用 Thymeleaf 等模板引擎：它们默认会对输出进行 HTML 转义。
• 配置 Content-Security-Policy：限制页面可以加载和执行的资源。
• 使用 Spring Security 的 XSS 保护：启用 XSS 防护头。

正确示例：

// 在 Spring Security 配置中启用 XSS 保护
@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.headers().xssProtection().and().contentSecurityPolicy("script-src 'self'");
    }
}

3. 敏感信息泄露

漏洞描述： 配置文件中的数据库凭证、API 密钥等敏感信息可能通过日志、异常信息或者 API 响应泄露。

危险指数： 💥💥💥💥

解决方案：

• 配置外部化：使用环境变量或外部配置文件存储敏感信息。
• 加密敏感数据：使用 Jasypt 等工具加密配置文件中的敏感信息。
• 日志脱敏：在记录日志时，对敏感信息进行脱敏处理。
• 异常处理：自定义异常处理器，避免将详细的异常信息返回给客户端。

正确示例：

// 使用 @Value 注入环境变量
@Value("${database.password}")
private String dbPassword;

// 或者使用 Spring Boot 的配置属性类
@ConfigurationProperties(prefix = "database")
public class DatabaseProperties {
    private String password;
    // getters and setters
}

4. 跨站请求伪造（CSRF）漏洞

漏洞描述： 攻击者诱导用户访问一个包含恶意请求的网站，利用用户已登录的身份，在用户不知情的情况下执行操作。

危险指数： 💥💥💥

解决方案：