Spring Boot 项目 90% 存在这 15 个致命漏洞，你的代码在裸奔吗？

文章首发公众号【风象南】

Spring Boot 作为一款广泛使用的 Java 开发框架，虽然为开发者提供了诸多便利，但也并非无懈可击，其安全漏洞问题不容忽视。本文将深入探讨 Spring Boot 常见的安全漏洞类型、产生原因以及相应的解决方案，帮助开发者更好地保障应用程序的安全。

1. SQL 注入漏洞

漏洞描述： 当应用程序使用用户输入的数据来构建 SQL 查询时，如果没有进行适当的过滤或转义，攻击者就可以通过构造恶意的 SQL 语句来访问、修改甚至删除数据库中的数据。

危险指数：

反面示例：

@GetMapping("/users")
public List getUsers(@RequestParam String username) {
    String sql = "SELECT * FROM users WHERE username = '" + username + "'";
    // ... 执行 SQL 查询
}

解决方案：

• 使用参数化查询：使用 JPA 或 MyBatis 等 ORM 框架，避免直接拼接 SQL 语句。
• 使用 PreparedStatement：如果必须手写 SQL，请使用 PreparedStatement。
• 输入验证：对用户输入进行严格验证，过滤特殊字符。

正确示例：

@GetMapping("/users")
public List getUsers(@RequestParam String username) {
    return userRepository.findByUsername(username);
}

// UserRepository.java
public interface UserRepository extends JpaRepository {
    List findByUsername(String username);
}

2. 跨站脚本攻击（XSS）漏洞

漏洞描述： 攻击者通过在 Web 页面中注入恶意脚本，当其他用户访问该页面时，这些脚本就会在用户的浏览器中执行，从而窃取用户信息、篡改页面内容等。

危险指数：

解决方案：

• 输出编码：对所有输出到 Web 页面的数据进行 HTML 编码。
• 使用 Thymeleaf 等模板引擎：它们默认会对输出进行 HTML 转义。
• 配置 Content-Security-Policy：限制页面可以加载和执行的资源。
• 使用 Spring Security 的 XSS 保护：启用 XSS 防护头。

正确示例：

// 在 Spring Security 配置中启用 XSS 保护
@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.headers().xssProtection().and().contentSecurityPolicy("script-src 'self'");
    }
}

3. 敏感信息泄露

漏洞描述： 配置文件中的数据库凭证、API 密钥等敏感信息可能通过日志、异常信息或者 API 响应泄露。

危险指数：

解决方案：

• 配置外部化：使用环境变量或外部配置文件存储敏感信息。
• 加密敏感数据：使用 Jasypt 等工具加密配置文件中的敏感信息。
• 日志脱敏：在记录日志时，对敏感信息进行脱敏处理。
• 异常处理：自定义异常处理器，避免将详细的异常信息返回给客户端。

正确示例：

// 使用 @Value 注入环境变量
@Value("${database.password}")
private String dbPassword;

// 或者使用 Spring Boot 的配置属性类
@ConfigurationProperties(prefix = "database")
public class DatabaseProperties {
    private String password;
    // getters and setters
}

4. 跨站请求伪造（CSRF）漏洞

漏洞描述： 攻击者诱导用户访问一个包含恶意请求的网站，利用用户已登录的身份，在用户不知情的情况下执行操作。

危险指数：

解决方案：

• 启用 Spring Security 的 CSRF 保护：Spring Security 默认开启 CSRF 保护。
• 使用 CSRF Token：在表单中添加 CSRF Token，并在服务器端验证。
• 对敏感操作使用验证码或二次确认：增加额外的验证步骤。

正确示例：

    
    
    更新

5. 依赖漏洞

漏洞描述： Spring Boot 项目通常有大量第三方依赖，这些依赖本身可能存在安全漏洞。

危险指数：

解决方案：

• 定期更新依赖：使用最新版本的依赖库，修复已知漏洞。
• 使用漏洞扫描工具：如 OWASP Dependency-Check、Snyk 等。
• 建立依赖白名单：仅使用经过安全审查的依赖库。

正确示例：

# 使用 Maven 插件检查依赖漏洞
mvn org.owasp:dependency-check-maven:check

# 或者使用 Gradle 插件
./gradlew dependencyCheckAnalyze

6. 访问控制不当

漏洞描述： 未正确实施访问控制，导致用户可以访问或修改他们本不应该访问的资源。

危险指数：

解决方案：

• 使用 Spring Security 进行权限控制：配置细粒度的访问控制规则。
• 实施方法级安全：使用 @PreAuthorize、@PostAuthorize 等注解。
• 最小权限原则：为用户分配最小必要的权限。

正确示例：

@RestController
@RequestMapping("/api/admin")
public class AdminController {
    
    @PreAuthorize("hasRole('ADMIN')")
    @GetMapping("/users")
    public List getAllUsers() {
        // 仅管理员可访问
        return userService.findAll();
    }
}

7. 不安全的反序列化

漏洞描述： 当应用程序反序列化不可信的数据时，攻击者可能利用这一点执行任意代码。

危险指数：

解决方案：

• 避免使用 Java 原生序列化：使用 JSON、XML 等更安全的格式。
• 实施白名单验证：限制可以被反序列化的类。
• 使用 Jackson 的安全设置：配置 Jackson 以防止不安全的反序列化。

正确示例：

ObjectMapper mapper = new ObjectMapper();
// 禁用所有默认类型信息的使用
mapper.disableDefaultTyping();
// 或者在新版本中使用
mapper.activateDefaultTyping(
    LaissezFaireSubTypeValidator.instance, 
    ObjectMapper.DefaultTyping.NONE
);

8. 安全配置错误

漏洞描述： 默认配置、开发环境配置或不安全的配置可能导致安全漏洞。

危险指数：

解决方案：

• 使用多环境配置：为开发、测试、生产环境使用不同的配置。
• 安全审查配置：在部署前审查所有配置项。
• 禁用开发工具：在生产环境中禁用 Spring Boot Actuator 的敏感端点。

正确示例：

# application-prod.yml
spring:
  security:
    headers:
      xss: true
      content-type: true
      frame: true
      cache: true
  boot:
    admin:
      client:
        enabled: false
management:
  endpoints:
    web:
      exposure:
        include: health,info

9. 文件上传漏洞

漏洞描述： 未对上传的文件进行严格校验和限制，可能导致攻击者上传恶意文件（如 JSP 木马、WebShell 等），或进行服务器端文件包含攻击。

危险指数：

解决方案：

• 文件类型验证：验证文件扩展名和 MIME 类型。
• 文件大小限制：设置合理的文件大小上限。
• 重命名文件：使用随机文件名，避免文件覆盖。
• 存储路径限制：将文件存储在 Web 根目录之外。
• 杀毒检查：对上传的文件进行病毒扫描。

正确示例：

@PostMapping("/upload")
public ResponseEntity uploadFile(@RequestParam("file") MultipartFile file) {
    // 检查文件类型
    String contentType = file.getContentType();
    if (!Arrays.asList("image/jpeg", "image/png", "image/gif").contains(contentType)) {
        return ResponseEntity.badRequest().body("不支持的文件类型");
    }
    
    // 检查文件大小
    if (file.getSize() > 5 * 1024 * 1024) { // 5MB
        return ResponseEntity.badRequest().body("文件过大");
    }
    
    // 生成随机文件名
    String fileName = UUID.randomUUID().toString() + 
        file.getOriginalFilename().substring(file.getOriginalFilename().lastIndexOf("."));
    
    // 保存到安全路径
    Path uploadPath = Paths.get("/app/uploads").resolve(fileName);
    try {
        Files.copy(file.getInputStream(), uploadPath, StandardCopyOption.REPLACE_EXISTING);
        return ResponseEntity.ok("上传成功");
    } catch (IOException e) {
        return ResponseEntity.status(HttpStatus.INTERNAL_SERVER_ERROR).body("上传失败");
    }
}

10. 密码安全存储

漏洞描述： 使用不安全的方式存储用户密码（如明文存储、简单 MD5 加密等），一旦数据库泄露，用户密码就会被暴露。

危险指数：

解决方案：

• 使用强哈希算法：采用 BCrypt、PBKDF2 等专门的密码哈希算法。
• 加盐处理：为每个密码添加随机盐值。
• 使用 Spring Security 的密码编码器：利用框架提供的安全机制。
• 密码强度校验：要求用户设置强密码。
• 定期密码更新：提醒用户定期更换密码。

正确示例：

@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    
    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder(12); // 使用 12 轮加密
    }
}

@Service
public class UserService {
    @Autowired
    private PasswordEncoder passwordEncoder;
    
    public void createUser(UserDTO userDTO) {
        // 密码强度校验
        if (!isPasswordStrong(userDTO.getPassword())) {
            throw new InvalidPasswordException("密码强度不够");
        }
        
        User user = new User();
        user.setUsername(userDTO.getUsername());
        // 使用 BCrypt 加密存储密码
        user.setPassword(passwordEncoder.encode(userDTO.getPassword()));
        userRepository.save(user);
    }
    
    private boolean isPasswordStrong(String password) {
        // 密码至少8位，包含大小写字母、数字和特殊字符
        String pattern = "^(?=.*[0-9])(?=.*[a-z])(?=.*[A-Z])(?=.*[@#$%^&+=])(?=\S+$).{8,}$";
        return password.matches(pattern);
    }
}

// 密码校验工具类
@Component
public class PasswordValidator {
    public static final String PASSWORD_PATTERN = 
        "^(?=.*[0-9])(?=.*[a-z])(?=.*[A-Z])(?=.*[@#$%^&+=])(?=\S+$).{8,}$";
        
    public boolean validate(String password) {
        Pattern pattern = Pattern.compile(PASSWORD_PATTERN);
        return pattern.matcher(password).matches();
    }
    
    public String getPasswordRequirements() {
        return "密码必须包含：\n" +
               "- 至少8个字符\n" +
               "- 至少一个大写字母\n" +
               "- 至少一个小写字母\n" +
               "- 至少一个数字\n" +
               "- 至少一个特殊字符(@#$%^&+=)";
    }
}

11. 未使用 HTTPS 协议

漏洞描述： 未加密的 HTTP 通信可能导致数据在传输过程中被拦截、篡改或侦听。

危险指数：

解决方案：

• 使用 HTTPS：启用 HTTPS 协议，通过 SSL/TLS 进行加密。
• 配置 HSTS：配置 HTTP 严格传输安全（HSTS）策略， 强制浏览器使用 HTTPS。
• 升级到 TLS 1.2 或以上：确保使用最新的 TLS 协议版本。

正确示例：

// Spring Boot application.properties 中配置 HTTPS
server.ssl.enabled=true
server.ssl.key-store-type=JKS
server.ssl.key-store=classpath:keystore.jks
server.ssl.key-store-password=changeit
server.ssl.key-alias=tomcat

12. HTTP 安全头配置不当

漏洞描述： 未正确配置 HTTP 安全头，导致应用容易遭受各种 Web 安全攻击，如点击劫持、MIME 类型嗅探等。

危险指数：

解决方案：

• 配置安全 HTTP 头：使用 Spring Security 或拦截器配置安全头。
• 启用关键安全头：

• • X-Frame-Options：防止点击劫持
  • X-XSS-Protection：启用浏览器 XSS 保护
  • X-Content-Type-Options：防止 MIME 类型嗅探
  • Strict-Transport-Security：强制使用 HTTPS
  • Content-Security-Policy：控制可加载的资源

正确示例：

@Configuration
public class SecurityHeaderConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .headers(headers -> headers
                .frameOptions().deny()
                .xssProtection()
                .and()
                .contentSecurityPolicy(
                    "default-src 'self'; " +
                    "script-src 'self' 'unsafe-inline' 'unsafe-eval'; " +
                    "style-src 'self' 'unsafe-inline'"
                )
            );
    }
}

13. Actuator端点暴露

漏洞描述： Spring Boot Actuator 默认暴露 /actuator 下的健康检查、配置信息等接口。如果未正确配置权限，攻击者可能通过这些接口获取敏感数据（如数据库连接信息、内存状态），甚至远程执行命令。

危险指数：

反面示例：

# 未做任何安全配置的 application.yml
management:
  endpoints:
    web:
      exposure:
        include: "*"  # 暴露所有端点

解决方案：

• 禁用敏感端点：生产环境仅暴露必要接口（如 health, info）。
• 配置访问权限：结合 Spring Security 对 Actuator 接口做权限控制。
• 自定义端点路径：修改默认路径 /actuator 增加隐蔽性。
• 监控异常请求：对频繁访问 Actuator 的 IP 进行拦截。

正确配置：

# application-prod.yml
management:
  endpoints:
    web:
      exposure:
        include: health,info  # 仅开放健康检查
  endpoint:
    shutdown:
      enabled: false  # 关闭危险端点
    env:
      enabled: false
spring:
  security:
    user:
      name: admin
      password: [强密码]  # 为 Actuator 设置独立账户

14. CORS 配置不当

漏洞描述： 前后端分离项目中，若跨域资源共享（CORS）配置过于宽松（如允许所有域名、所有方法），攻击者可能利用此漏洞发起 CSRF 攻击或窃取数据。

危险指数：

反面示例：

// 不安全的全局 CORS 配置
@Configuration
public class CorsConfig implements WebMvcConfigurer {
    @Override
    public void addCorsMappings(CorsRegistry registry) {
        registry.addMapping("/**")
                .allowedOrigins("*")  // 允许所有域名
                .allowedMethods("*"); // 允许所有 HTTP 方法
    }
}

解决方案：

• 最小化允许域名：仅配置可信的前端域名。
• 限制 HTTP 方法：按需开放 GET/POST 等方法，禁用 PUT/DELETE 等高风险方法。
• 设置凭证控制：非必要情况下关闭 allowCredentials。
• 使用注解级配置：替代全局配置，精确控制接口。

正确配置：

@Configuration
public class CorsConfig implements WebMvcConfigurer {
    @Override
    public void addCorsMappings(CorsRegistry registry) {
        registry.addMapping("/api/**")
                .allowedOrigins("https://your-frontend-domain.com") // 指定前端域名
                .allowedMethods("GET", "POST") 
                .allowCredentials(true)  // 按需开启
                .maxAge(3600);
    }
}

15. 缺少输入验证

漏洞描述： 对用户输入的数据缺少适当的验证，可能导致各种安全问题，例如缓冲区溢出、格式化字符串漏洞等。

危险指数：

解决方案：

• 白名单验证： 只允许特定的字符或字符组合。
• 限制输入长度： 对用户输入的长度进行限制。
• 使用 Bean Validation (JSR-303)： 使用注解进行数据验证。

正确示例：

public class User {

    @NotBlank(message = "用户名不能为空")
    @Size(min = 5, max = 20, message = "用户名长度必须在 5 到 20 之间")
    private String username;

    @Email(message = "邮箱格式不正确")
    private String email;

    // ...
}

public class UserController{

    @PostMapping("/register")
    public ResponseEntity register(@Valid @RequestBody User user, BindingResult result) {
        if (result.hasErrors()) {
            return ResponseEntity.badRequest().body("注册失败：" + result.getAllErrors().get(0).getDefaultMessage());
        }
        // ...
    }
    
}

16. 总结与建议

项目中的安全问题不容忽视，开发者需要时刻保持警惕，采取积极的措施来保护应用的安全。

安全无小事，防范胜于补救！ 希望大家都能重视 Spring Boot 的安全问题，让我们的应用更加安全可靠。