Java 编程中的常见安全问题及其解决方案

引言

随着 Java 在企业级开发、Web 应用和分布式系统中的广泛应用，安全问题逐渐成为开发者不可忽视的挑战。常见的安全漏洞往往源于不安全的编码习惯、对输入数据的处理不当以及对敏感信息保护不足。本文将系统分析 Java 编程中的常见安全问题，并结合代码实例，提出切实可行的解决方案。

一、输入验证与注入攻击

1.1 SQL 注入问题

问题描述：开发者直接将用户输入拼接进 SQL 语句，导致攻击者可以构造恶意输入绕过验证。

错误示例：

String userInput = request.getParameter("username");
String query = "SELECT * FROM users WHERE username = '" + userInput + "'";
Statement stmt = connection.createStatement();
ResultSet rs = stmt.executeQuery(query);

如果用户输入：' OR '1'='1，则可绕过验证获取所有数据。

解决方案：使用 PreparedStatement 进行参数化查询

String query = "SELECT * FROM users WHERE username = ?";
PreparedStatement pstmt = connection.prepareStatement(query);
pstmt.setString(1, userInput);
ResultSet rs = pstmt.executeQuery();

✅ 避免了 SQL 注入风险。

1.2 XSS（跨站脚本攻击）

问题描述：在 Web 应用中，用户输入未经过滤直接渲染到 HTML 页面，攻击者可注入恶意脚本。

错误示例：

out.println("<h1>" + request.getParameter("msg") + "</h1>");

用户输入 <script>alert('Hacked!')</script> 将直接执行。

解决方案：对输出进行 HTML 转义

import org.apache.commons.text.StringEscapeUtils;

String safeMsg = StringEscapeUtils.escapeHtml4(request.getParameter("msg"));
out.println("<h1>" + safeMsg + "</h1>");

✅ 保证页面输出安全。

二、认证与会话管理问题

2.1 明文存储密码

问题描述：将用户密码明文存储在数据库中，一旦数据库泄露，极易造成安全风险。

错误示例：

String query = "INSERT INTO users (username, password) VALUES (?, ?)";
PreparedStatement pstmt = connection.prepareStatement(query);
pstmt.setString(1, username);
pstmt.setString(2, password); // ❌ 明文存储
pstmt.executeUpdate();

解决方案：使用安全哈希函数 + 盐值

import java.security.MessageDigest;
import java.security.SecureRandom;
import java.util.Base64;

public class PasswordUtils {
    public static String hashPassword(String password, String salt) throws Exception {
        MessageDigest md = MessageDigest.getInstance("SHA-256");
        md.update(salt.getBytes());
        byte[] hashed = md.digest(password.getBytes());
        return Base64.getEncoder().encodeToString(hashed);
    }

    public static String generateSalt() {
        SecureRandom random = new SecureRandom();
        byte[] salt = new byte[16];
        random.nextBytes(salt);
        return Base64.getEncoder().encodeToString(salt);
    }
}

✅ 使用 SHA-256 + 随机盐 存储密码，提升安全性。

2.2 会话固定攻击

问题描述：攻击者通过固定用户的 JSESSIONID 值，诱导用户使用特定会话，从而劫持会话。

解决方案：用户登录成功后强制重新生成 Session ID

HttpSession oldSession = request.getSession(false);
if (oldSession != null) {
    oldSession.invalidate();
}
HttpSession newSession = request.getSession(true);
newSession.setAttribute("user", username);

✅ 防止会话固定攻击。

三、敏感数据保护

3.1 日志泄露敏感信息

问题描述：在日志中直接记录用户密码、Token 等敏感数据，可能被黑客利用。

错误示例：

logger.info("User login attempt: username=" + username + ", password=" + password);

解决方案：避免记录敏感信息

logger.info("User login attempt: username=" + username + ", password=***");

3.2 使用 HTTPS 传输数据

在敏感数据传输中，应强制使用 HTTPS，并关闭弱加密协议（如 TLS 1.0/1.1）。

Tomcat 配置示例：

<Connector port="8443" protocol="org.apache.coyote.http11.Http11NioProtocol"
           SSLEnabled="true"
           maxThreads="200"
           scheme="https" secure="true"
           clientAuth="false" sslProtocol="TLSv1.2" />

✅ 保证数据传输安全。

四、代码执行与反序列化漏洞

4.1 不安全的反射调用

问题描述：攻击者可以通过不安全的反射执行任意类或方法。

错误示例：

String className = request.getParameter("class");
Class<?> clazz = Class.forName(className);
Object obj = clazz.newInstance(); // 可能被利用加载恶意类

解决方案：限制可反射的类白名单

List<String> whitelist = Arrays.asList("com.app.SafeClass");
if (whitelist.contains(className)) {
    Class<?> clazz = Class.forName(className);
    Object obj = clazz.getDeclaredConstructor().newInstance();
}

4.2 Java 反序列化漏洞

问题描述：反序列化外部输入对象时，攻击者可构造恶意对象触发远程代码执行。

错误示例：

ObjectInputStream ois = new ObjectInputStream(request.getInputStream());
Object obj = ois.readObject(); // ❌ 可能加载恶意对象

解决方案：使用 ObjectInputFilter 限制反序列化对象

import java.io.*;

ObjectInputStream ois = new ObjectInputStream(request.getInputStream());
ObjectInputFilter filter = ObjectInputFilter.Config.createFilter("com.app.*;!*");
ois.setObjectInputFilter(filter);
Object obj = ois.readObject();

✅ 限制只能反序列化指定包下的类。

五、结论

Java 编程中的安全问题主要集中在 输入验证、会话管理、敏感数据保护、反序列化安全 等方面。通过参数化查询、防范 XSS、加密存储密码、重新生成 Session ID 以及严格限制反序列化对象，可以有效降低风险。开发者应将安全编码作为开发过程的重要环节，从源头减少漏洞产生的可能性。