java代码漏洞检测，常见问题与修复建议

前言

随着计算机应用的发展，网络安全问题日益成为大家关注的焦点。因此项目团队在交付项目时，客户方基于安全方面的考虑，代码审计已经是确保应用程序安全性的一种重要手段。
今天我们来聊一聊java代码检测，常见的代码漏洞及修复方案。

☆ 常见问题：
1.SQL注入
常见的方式有直接将用户的输入参数拼接SQL使用

2.文件上传
通过上传恶意文件执行恶意代码，或者恶意代码的文件

3.XSS（跨站脚本攻击）：未对用户输入进行充分过滤和转义，可能导致恶意脚本在用户端执行

4.数据库连接传参
直接通过JDBC获取链接：

public Connection amlConnection(String db) throws Exception {
	Connection conn = null;
        try {
            String DBDriver = env.getProperty("aml.db_connections." + db + ".driver-class-name");
            if(DBDriver != null && DBDriver.equals("dm.jdbc.driver.DmDriver")){
                //正确的驱动类型
            }else{
                throw new RuntimeException("驱动类型错误");
            }
            String DBUser = env.getProperty("aml.db_connections." + db + ".username");
            String DBPassword = env.getProperty("aml.db_connections." + db + ".password");
            String DBUrl = env.getProperty("aml.db_connections." + db + ".url");
            Class.forName(DBDriver);
            conn = DriverManager.getConnection(DBUrl, DBUser, DBPassword);
        } catch (Exception e) {
            log.error(e.getMessage());
            throw e;
        }
    return conn;
}        

5、弱密码策略：用户使用弱密码容易导致密码被猜测或暴力破解。

6.日志伪造

☆ 解决方案：

1.使用预编译语句和参数化处理，从而避免直接将用户输入拼接到SQL语句中。

2.对上传文件进行严格校验，包括路径、文件类型、文件大小和内容

public static boolean checkFileName(String fileName){
		boolean result = fileName.contains("<")||fileName.contains(">")||fileName.contains("\"")||fileName.contains("*")||fileName.contains("..")
				||fileName.endsWith("\\")||fileName.contains("?")||fileName.contains(":")
				||fileName.contains("|")||fileName.endsWith(".dat")||fileName.endsWith(".sh");
		return result;
	}

	public static String fileCheck(MultipartFile file){
		// 验证文件是否为空
		if (file.isEmpty()) {
			return "上传文件不能为空";
		}

		// 获取文件名
		String originalFileName = file.getOriginalFilename();
		if (originalFileName == null || originalFileName.isEmpty()) {
			return "文件名无效";
		}

		// 检查文件大小
		long fileSize = file.getSize();
		if (fileSize > 10 * 1024 * 1024) { // 假设最大文件大小为10MB
			return "文件过大，最大允许10MB";
		}
		return null;
	}

3、输入过滤和输出转义：对用户输入的数据进行有效的过滤和验证，确保只接受合法且预期的数据。使用Web编程框架提供的安全API来进行输出转义，防止XSS攻击。

4. 采用连接池方式

package cn.com.dhcc.aml.config;

import cn.com.dhcc.aml.common.AmlBasicConstants;
import lombok.extern.slf4j.Slf4j;
import org.springframework.beans.factory.InitializingBean;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.context.annotation.Configuration;
import org.springframework.core.env.Environment;

import javax.sql.DataSource;
import java.sql.Connection;
import java.sql.DriverManager;
import java.util.Arrays;
import java.util.HashSet;
import java.util.Properties;
import java.util.Set;

@Configuration
@Slf4j
public class TaskexecConfiguration implements InitializingBean {
    @Autowired
    Environment env;

    @Autowired
    private DataSource dbDmDataSource;

    @Autowired
    private DataSource dbBasicDataSource;

    private static TaskexecConfiguration config = null;

    public static TaskexecConfiguration getConfig() {
        return config;
    }

    @Override
    public void afterPropertiesSet() throws Exception {
        config = this;
    }


    public Connection amlDmConnection(String db) throws Exception {
        Connection conn = null;
        try {
            conn = amlConnection(db);
        } catch (Exception e) {
            throw e;
        }
        return conn;
    }

    public Connection amlConnection(String db) throws Exception {
        // 验证 db 参数
        if (!isValidDb(db)) {
            throw new IllegalArgumentException("无效的数据库名称: " + db);
        }
        DataSource dataSource = getDataSource(db);
        Connection conn = dataSource.getConnection();
        return conn;
    }

    private DataSource getDataSource(String db) {
        switch (db) {
            case AmlBasicConstants.db_dm:
                return dbDmDataSource;
            case AmlBasicConstants.db_basic:
                return dbBasicDataSource;
            default:
                throw new IllegalArgumentException("无效的数据库名称: " + db);
        }
    }
    private static final Set<String> ALLOWED_DBS = new HashSet<>(Arrays.asList(AmlBasicConstants.db_dm, AmlBasicConstants.db_basic));
    private boolean isValidDb(String db) {
        // 检查 db 是否在白名单中
        return ALLOWED_DBS.contains(db);
    }
}

5、强密码策略：引导用户使用强密码，并在注册和重置密码时进行密码强度校验。密码应采用哈希算法进行加密存储，并定期要求用户更换密码。

6、敏感信息脱敏

点击 精彩内容，了解更多。