JavaEE有一些超赞的内置安全机制，但它们远远不能覆盖应用程序要面临的所有威胁。很多常见攻击，例如跨站点脚本攻击(XSS)、SQL注入、 跨站点伪造请求(CSRF)，以及XML外部实体(XXE)丝毫没有涵盖。你可以阻止web应用程序和web服务暴露于这些攻击，但这需要一定量的工作和测试。今天郑州java培训班的千锋小编就来分享一下JavaEE中遗漏的5个重要的安全控制。
1.注入
注入发生在开发人员获取不可信的信息，例如request.getParameter()，request.getCookie()，或 request.getHeader()，并在命令接口中使用它的任何时候。例如，SQL注入在你连接不可信的数据到常规SQL查询，如“SELECT * FROM users WHERE username=‘“ + request.getParameter(“user”) + “‘ AND password=‘“ + request.getParameter(“pass”) = “‘“时发生。开发人员应该使用PreparedStatement来防止攻击者改变查询的含义和接管数据库主机。还有许多其他类型的注入，如 Command注入、LDAP注入以及Expression Language (EL) 注入，所有这些都极度危险，因此在发送数据到这些解释器的时候要格外小心。
2.损坏的验证和会话管理
JavaEE支持身份验证和会话管理，但这里有很多容易出错的地方。你必须确保所有经过验证流量都通过SSL，没有例外。如果你曾经暴露 JSESSIONID，那么它就可被用来在你不知情的情况下劫持用户会话。你应该旋转JSESSIONID，在用户进行身份验证以防止会话固定攻击 (Session Fixation attack)的时候。你应该避免使用response.encodeURL()，因为它会添加用户的JSESSIONID到URL，使得容易被披露或 被盗。
3.跨站点脚本攻击(XSS)
XSS发生在当JavaEE开发人员从HTTP请求获取不可信的信息，并把它放到HTTP响应中，而没有适当的上下文输出编码的时候。攻击者可以利 用这个行为将他们的脚本注入网站，然后在这个网站上劫持会话和窃取数据。为了防止这些攻击，开发人员需要执行敏感的上下文输出编码。如果你把数据转换成 HTML，使用&#xx;格式。请务必括号HTML属性，因为有很多不同字符而不带括号的属性会被终止。如果你把不可信的数据放到 JavaScript，URL或CSS中，那么对于每一个你都应该使用相应的转义方法。并且在和嵌套上下文，如一个用Javascript写的在HTML 属性中的URL打交道时，要非常小心。你可能会想要编码库，例如OWASP ESAPI的帮助。
4.不安全的直接对象引用
任何时候应用程序暴露了一个内部标识符，例如数据库密钥，文件名，或hashmap索引，攻击者就可以尝试操纵这些标识符来访问未经授权的数据。例 如，如果你将来自于HTTP请求的不可信的数据传递到Java文件构造器，攻击者就可以利用“../”或空字节攻击来欺骗你的验证。你应该考虑对你的数据 使用间接引用，以防止这种类型的攻击。ESAPI库支持促进这种间接引用的ReferenceMaps。
5.错误的安全配置
现代的JavaEE应用程序和框架，例如Struts和Spring中有着大量的安全设置。确定你已经浏览过这些安全设置，并按你想要的那样设置。 例如，小心中的标签。这表明安全约束仅适用于列出的方 法，允许攻击者使用其他HTTP方法，如HEAD和PUT，来绕过整个安全约束。也许你应该删除web.xml中的标签。
你应该持续留意这些问题，新的攻击和漏洞总是在被发现。理想情况下，你可以集成安全检查到现有的构建、测试和部署过程。
