Spring Boot 项目 90% 存在这 15 个致命漏洞！你的代码在裸奔吗？-低调大师

Spring Boot 项目 90% 存在这 15 个致命漏洞！你的代码在裸奔吗？

2025-03-24 225

文章首发公众号【风象南】

Spring Boot 作为一款广泛使用的 Java 开发框架，虽然为开发者提供了诸多便利，但也并非无懈可击，其安全漏洞问题不容忽视。本文将深入探讨 Spring Boot 常见的安全漏洞类型、产生原因以及相应的解决方案，帮助开发者更好地保障应用程序的安全。

1. SQL 注入漏洞

漏洞描述： 当应用程序使用用户输入的数据来构建 SQL 查询时，如果没有进行适当的过滤或转义，攻击者就可以通过构造恶意的 SQL 语句来访问、修改甚至删除数据库中的数据。

危险指数： 💥💥💥💥💥

反面示例：

@GetMapping("/users")
public List<User> getUsers(@RequestParam String username) {
    String sql = "SELECT * FROM users WHERE username = '" + username + "'";
    // ... 执行 SQL 查询
}

解决方案：

使用参数化查询：使用 JPA 或 MyBatis 等 ORM 框架，避免直接拼接 SQL 语句。
使用 PreparedStatement：如果必须手写 SQL，请使用 PreparedStatement。
输入验证：对用户输入进行严格验证，过滤特殊字符。

正确示例：

@GetMapping("/users")
public List<User> getUsers(@RequestParam String username) {
    return userRepository.findByUsername(username);
}

// UserRepository.java
public interface UserRepository extends JpaRepository<User, Long> {
    List<User> findByUsername(String username);
}

2. 跨站脚本攻击（XSS）漏洞

漏洞描述： 攻击者通过在 Web 页面中注入恶意脚本，当其他用户访问该页面时，这些脚本就会在用户的浏览器中执行，从而窃取用户信息、篡改页面内容等。

危险指数： 💥💥💥💥

解决方案：

输出编码：对所有输出到 Web 页面的数据进行 HTML 编码。
使用 Thymeleaf 等模板引擎：它们默认会对输出进行 HTML 转义。
配置 Content-Security-Policy：限制页面可以加载和执行的资源。
使用 Spring Security 的 XSS 保护：启用 XSS 防护头。

正确示例：

// 在 Spring Security 配置中启用 XSS 保护
@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.headers().xssProtection().and().contentSecurityPolicy("script-src 'self'");
    }
}

3. 敏感信息泄露

漏洞描述： 配置文件中的数据库凭证、API 密钥等敏感信息可能通过日志、异常信息或者 API 响应泄露。

危险指数： 💥💥💥💥

解决方案：

配置外部化：使用环境变量或外部配置文件存储敏感信息。
加密敏感数据：使用 Jasypt 等工具加密配置文件中的敏感信息。
日志脱敏：在记录日志时，对敏感信息进行脱敏处理。
异常处理：自定义异常处理器，避免将详细的异常信息返回给客户端。

正确示例：

// 使用 @Value 注入环境变量
@Value("${database.password}")
private String dbPassword;

// 或者使用 Spring Boot 的配置属性类
@ConfigurationProperties(prefix = "database")
public class DatabaseProperties {
    private String password;
    // getters and setters
}

4. 跨站请求伪造（CSRF）漏洞

漏洞描述： 攻击者诱导用户访问一个包含恶意请求的网站，利用用户已登录的身份，在用户不知情的情况下执行操作。

危险指数： 💥💥💥

解决方案：

启用 Spring Security 的 CSRF 保护：Spring Security 默认开启 CSRF 保护。
使用 CSRF Token：在表单中添加 CSRF Token，并在服务器端验证。
对敏感操作使用验证码或二次确认：增加额外的验证步骤。

正确示例：

<!-- 在 Thymeleaf 模板中添加 CSRF Token -->
<form th:action="@{/profile/update}" method="post">
    <input type="hidden" th:name="${_csrf.parameterName}" th:value="${_csrf.token}" />
    <!-- 表单内容 -->
    <button type="submit">更新</button>
</form>

5. 依赖漏洞

漏洞描述： Spring Boot 项目通常有大量第三方依赖，这些依赖本身可能存在安全漏洞。

危险指数： 💥💥💥

解决方案：

定期更新依赖：使用最新版本的依赖库，修复已知漏洞。
使用漏洞扫描工具：如 OWASP Dependency-Check、Snyk 等。
建立依赖白名单：仅使用经过安全审查的依赖库。

正确示例：

# 使用 Maven 插件检查依赖漏洞
mvn org.owasp:dependency-check-maven:check

# 或者使用 Gradle 插件
./gradlew dependencyCheckAnalyze

6. 访问控制不当

漏洞描述： 未正确实施访问控制，导致用户可以访问或修改他们本不应该访问的资源。

危险指数： 💥💥💥💥

解决方案：

使用 Spring Security 进行权限控制：配置细粒度的访问控制规则。
实施方法级安全：使用 @PreAuthorize、@PostAuthorize 等注解。
最小权限原则：为用户分配最小必要的权限。

正确示例：

@RestController
@RequestMapping("/api/admin")
public class AdminController {
    
    @PreAuthorize("hasRole('ADMIN')")
    @GetMapping("/users")
    public List<User> getAllUsers() {
        // 仅管理员可访问
        return userService.findAll();
    }
}

7. 不安全的反序列化

漏洞描述： 当应用程序反序列化不可信的数据时，攻击者可能利用这一点执行任意代码。

危险指数： 💥💥💥💥

解决方案：

避免使用 Java 原生序列化：使用 JSON、XML 等更安全的格式。
实施白名单验证：限制可以被反序列化的类。
使用 Jackson 的安全设置：配置 Jackson 以防止不安全的反序列化。

正确示例：

ObjectMapper mapper = new ObjectMapper();
// 禁用所有默认类型信息的使用
mapper.disableDefaultTyping();
// 或者在新版本中使用
mapper.activateDefaultTyping(
    LaissezFaireSubTypeValidator.instance, 
    ObjectMapper.DefaultTyping.NONE
);

8. 安全配置错误

漏洞描述： 默认配置、开发环境配置或不安全的配置可能导致安全漏洞。

危险指数： 💥💥💥

解决方案：

使用多环境配置：为开发、测试、生产环境使用不同的配置。
安全审查配置：在部署前审查所有配置项。
禁用开发工具：在生产环境中禁用 Spring Boot Actuator 的敏感端点。

正确示例：

# application-prod.yml
spring:
  security:
    headers:
      xss: true
      content-type: true
      frame: true
      cache: true
  boot:
    admin:
      client:
        enabled: false
management:
  endpoints:
    web:
      exposure:
        include: health,info

9. 文件上传漏洞

漏洞描述： 未对上传的文件进行严格校验和限制，可能导致攻击者上传恶意文件（如 JSP 木马、WebShell 等），或进行服务器端文件包含攻击。

危险指数： 💥💥💥💥

解决方案：

文件类型验证：验证文件扩展名和 MIME 类型。
文件大小限制：设置合理的文件大小上限。
重命名文件：使用随机文件名，避免文件覆盖。
存储路径限制：将文件存储在 Web 根目录之外。
杀毒检查：对上传的文件进行病毒扫描。

正确示例：

@PostMapping("/upload")
public ResponseEntity<String> uploadFile(@RequestParam("file") MultipartFile file) {
    // 检查文件类型
    String contentType = file.getContentType();
    if (!Arrays.asList("image/jpeg", "image/png", "image/gif").contains(contentType)) {
        return ResponseEntity.badRequest().body("不支持的文件类型");
    }
    
    // 检查文件大小
    if (file.getSize() > 5 * 1024 * 1024) { // 5MB
        return ResponseEntity.badRequest().body("文件过大");
    }
    
    // 生成随机文件名
    String fileName = UUID.randomUUID().toString() + 
        file.getOriginalFilename().substring(file.getOriginalFilename().lastIndexOf("."));
    
    // 保存到安全路径
    Path uploadPath = Paths.get("/app/uploads").resolve(fileName);
    try {
        Files.copy(file.getInputStream(), uploadPath, StandardCopyOption.REPLACE_EXISTING);
        return ResponseEntity.ok("上传成功");
    } catch (IOException e) {
        return ResponseEntity.status(HttpStatus.INTERNAL_SERVER_ERROR).body("上传失败");
    }
}

10. 密码安全存储

漏洞描述： 使用不安全的方式存储用户密码（如明文存储、简单 MD5 加密等），一旦数据库泄露，用户密码就会被暴露。

危险指数： 💥💥💥💥💥

解决方案：

使用强哈希算法：采用 BCrypt、PBKDF2 等专门的密码哈希算法。
加盐处理：为每个密码添加随机盐值。
使用 Spring Security 的密码编码器：利用框架提供的安全机制。
密码强度校验：要求用户设置强密码。
定期密码更新：提醒用户定期更换密码。

正确示例：

@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    
    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder(12); // 使用 12 轮加密
    }
}

@Service
public class UserService {
    @Autowired
    private PasswordEncoder passwordEncoder;
    
    public void createUser(UserDTO userDTO) {
        // 密码强度校验
        if (!isPasswordStrong(userDTO.getPassword())) {
            throw new InvalidPasswordException("密码强度不够");
        }
        
        User user = new User();
        user.setUsername(userDTO.getUsername());
        // 使用 BCrypt 加密存储密码
        user.setPassword(passwordEncoder.encode(userDTO.getPassword()));
        userRepository.save(user);
    }
    
    private boolean isPasswordStrong(String password) {
        // 密码至少8位，包含大小写字母、数字和特殊字符
        String pattern = "^(?=.*[0-9])(?=.*[a-z])(?=.*[A-Z])(?=.*[@#$%^&+=])(?=\S+$).{8,}$";
        return password.matches(pattern);
    }
}

// 密码校验工具类
@Component
public class PasswordValidator {
    public static final String PASSWORD_PATTERN = 
        "^(?=.*[0-9])(?=.*[a-z])(?=.*[A-Z])(?=.*[@#$%^&+=])(?=\S+$).{8,}$";
        
    public boolean validate(String password) {
        Pattern pattern = Pattern.compile(PASSWORD_PATTERN);
        return pattern.matcher(password).matches();
    }
    
    public String getPasswordRequirements() {
        return "密码必须包含：\n" +
               "- 至少8个字符\n" +
               "- 至少一个大写字母\n" +
               "- 至少一个小写字母\n" +
               "- 至少一个数字\n" +
               "- 至少一个特殊字符(@#$%^&+=)";
    }
}

11. 未使用 HTTPS 协议

漏洞描述： 未加密的 HTTP 通信可能导致数据在传输过程中被拦截、篡改或侦听。

危险指数： 💥💥💥💥

解决方案：

使用 HTTPS：启用 HTTPS 协议，通过 SSL/TLS 进行加密。
配置 HSTS：配置 HTTP 严格传输安全（HSTS）策略，强制浏览器使用 HTTPS。
升级到 TLS 1.2 或以上：确保使用最新的 TLS 协议版本。

正确示例：

// Spring Boot application.properties 中配置 HTTPS
server.ssl.enabled=true
server.ssl.key-store-type=JKS
server.ssl.key-store=classpath:keystore.jks
server.ssl.key-store-password=changeit
server.ssl.key-alias=tomcat

12. HTTP 安全头配置不当

漏洞描述： 未正确配置 HTTP 安全头，导致应用容易遭受各种 Web 安全攻击，如点击劫持、MIME 类型嗅探等。

危险指数： 💥💥💥

解决方案：

配置安全 HTTP 头：使用 Spring Security 或拦截器配置安全头。
启用关键安全头：

- X-Frame-Options：防止点击劫持
- X-XSS-Protection：启用浏览器 XSS 保护
- X-Content-Type-Options：防止 MIME 类型嗅探
- Strict-Transport-Security：强制使用 HTTPS
- Content-Security-Policy：控制可加载的资源

正确示例：

@Configuration
public class SecurityHeaderConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .headers(headers -> headers
                .frameOptions().deny()
                .xssProtection()
                .and()
                .contentSecurityPolicy(
                    "default-src 'self'; " +
                    "script-src 'self' 'unsafe-inline' 'unsafe-eval'; " +
                    "style-src 'self' 'unsafe-inline'"
                )
            );
    }
}

13. Actuator端点暴露

漏洞描述： Spring Boot Actuator 默认暴露 /actuator 下的健康检查、配置信息等接口。如果未正确配置权限，攻击者可能通过这些接口获取敏感数据（如数据库连接信息、内存状态），甚至远程执行命令。

危险指数： 💥💥💥💥

反面示例：

# 未做任何安全配置的 application.yml
management:
  endpoints:
    web:
      exposure:
        include: "*"  # 暴露所有端点

解决方案：

禁用敏感端点：生产环境仅暴露必要接口（如 health, info）。
配置访问权限：结合 Spring Security 对 Actuator 接口做权限控制。
自定义端点路径：修改默认路径 /actuator 增加隐蔽性。
监控异常请求：对频繁访问 Actuator 的 IP 进行拦截。

正确配置：

# application-prod.yml
management:
  endpoints:
    web:
      exposure:
        include: health,info  # 仅开放健康检查
  endpoint:
    shutdown:
      enabled: false  # 关闭危险端点
    env:
      enabled: false
spring:
  security:
    user:
      name: admin
      password: [强密码]  # 为 Actuator 设置独立账户

14. CORS 配置不当

漏洞描述： 前后端分离项目中，若跨域资源共享（CORS）配置过于宽松（如允许所有域名、所有方法），攻击者可能利用此漏洞发起 CSRF 攻击或窃取数据。

危险指数： 💥💥💥

反面示例：

// 不安全的全局 CORS 配置
@Configuration
public class CorsConfig implements WebMvcConfigurer {
    @Override
    public void addCorsMappings(CorsRegistry registry) {
        registry.addMapping("/**")
                .allowedOrigins("*")  // 允许所有域名
                .allowedMethods("*"); // 允许所有 HTTP 方法
    }
}

解决方案：

最小化允许域名：仅配置可信的前端域名。
限制 HTTP 方法：按需开放 GET/POST 等方法，禁用 PUT/DELETE 等高风险方法。
设置凭证控制：非必要情况下关闭 allowCredentials。
使用注解级配置：替代全局配置，精确控制接口。

正确配置：

@Configuration
public class CorsConfig implements WebMvcConfigurer {
    @Override
    public void addCorsMappings(CorsRegistry registry) {
        registry.addMapping("/api/**")
                .allowedOrigins("https://your-frontend-domain.com") // 指定前端域名
                .allowedMethods("GET", "POST") 
                .allowCredentials(true)  // 按需开启
                .maxAge(3600);
    }
}

15. 缺少输入验证

漏洞描述： 对用户输入的数据缺少适当的验证，可能导致各种安全问题，例如缓冲区溢出、格式化字符串漏洞等。

危险指数： 💥💥💥💥

解决方案：

白名单验证： 只允许特定的字符或字符组合。
限制输入长度： 对用户输入的长度进行限制。
使用 Bean Validation (JSR-303)： 使用注解进行数据验证。

正确示例：

public class User {

    @NotBlank(message = "用户名不能为空")
    @Size(min = 5, max = 20, message = "用户名长度必须在 5 到 20 之间")
    private String username;

    @Email(message = "邮箱格式不正确")
    private String email;

    // ...
}

public class UserController{

    @PostMapping("/register")
    public ResponseEntity<String> register(@Valid @RequestBody User user, BindingResult result) {
        if (result.hasErrors()) {
            return ResponseEntity.badRequest().body("注册失败：" + result.getAllErrors().get(0).getDefaultMessage());
        }
        // ...
    }
    
}

16. 总结与建议

项目中的安全问题不容忽视，开发者需要时刻保持警惕，采取积极的措施来保护应用的安全。

安全无小事，防范胜于补救！ 希望大家都能重视 Spring Boot 的安全问题，让我们的应用更加安全可靠。

微信关注我们

原文链接：https://my.oschina.net/cccyb/blog/17987519

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

万字长文，带你读懂Anthropic MCP

背景随着大模型的快速发展，如何让模型与企业数据、工具高效对接成为核心挑战。传统方式需为每个数据源/工具编写定制化代码，导致开发成本高、扩展性差、安全性低，形成“烟囱式开发”。如何让大语言模型与外部系统交互，已经成为AI系统急需解决的问题。从2023年到现在，业界也有过多种尝试，我们也一起来梳理一下：原始时代——prompt转json。大家现在回头看看写在代码里面的prompt是否还有大量的提示词转结构化数据的要求。优点就是可以很快的事项让大模型给出符合格式的结果。缺陷也是很大，就是不可靠。常遇到的比如json的key错误，json格式不对，时间格式不匹配。农耕时代——Plugins。2023年3月份，OpenAI 官方发布了重磅的「ChatGPT plugins」。也是大模型首次允许通过插件与外部应用交互的能力，也给了AI应用很大的想象。比如当前大模型都具备的实时信息检索，也是这个时候引入的。铁器时代——Function Calling。2023年6月，OpenAI在GPT-3.5和GPT-4模型中首次引入Function Calling机制，赋予模型调用外部函数的能力，使其...

2025-03-24

312

最近，许多软件和平台纷纷上线 MCP Server，按照 MCP 协议统一与大模型的交互接口，如 Gitee MCP Server、百度地图 MCP 的发布等等。通过 Gitee MCP Server 读取用户 Gitee 仓库中的 Issue 重新定义大模型交互范式 MCP 协议可以简单理解成是一个国际通用版本的转接头，将大模型与各种外部系统、工具和数据源链接在一起。它通过定义统一的通信规范和数据格式，实现了异构技术栈间的无缝对接，使得算力资源、行业知识库与 AI 模型能够突破平台限制进行跨维度协作。比如，要调用大模型做一个客服 AI，通常需要同时访问客户信息、产品知识库和工单系统等，开发者要为每个数据源编写独立代码，开发定制化的 API 接口，还要实现复杂的鉴权与错误处理机制，并对模型进行特定格式的指令训练。而通过 MCP 协议，就可以直接将这些系统接入统一的 MCP 管理，像“插排接电器”一样即插即用。具体来说，开发者不再需要为每个数据源单独开发 API，只需在 MCP 中配置一次工具（如客户数据库、工单系统），后续所有兼容 MCP 的 AI 模型都能直接调用这些服务。 ...

2025-03-24

394

资源下载

更多资源

优质分享App

近一个月的开发和优化，本站点的第一个app全新上线。该app采用极致压缩，本体才4.36MB。系统里面做了大量数据访问、缓存优化。方便用户在手机上查看文章。后续会推出HarmonyOS的适配版本。

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。