Java框架中的注入攻击防御策略

一、什么是注入攻击？

注入攻击(Injection Attack)是OWASP Top 10中排名第一的Web应用安全风险，指攻击者通过向应用程序输入恶意数据来改变程序执行流程的攻击方式。

二、常见的注入攻击类型

• SQL注入：通过构造特殊SQL语句获取数据库敏感信息
• XSS(跨站脚本)：注入恶意JavaScript代码到网页中
• 命令注入：通过系统命令执行漏洞攻击服务器
• LDAP注入：针对LDAP查询语句的攻击

三、Java框架中的防御策略

1. SQL注入防御

使用PreparedStatement：

String sql = "SELECT * FROM users WHERE username = ? AND password = ?";
PreparedStatement stmt = connection.prepareStatement(sql);
stmt.setString(1, username);
stmt.setString(2, password);
ResultSet rs = stmt.executeQuery();

ORM框架安全使用：

• Hibernate/JPA使用参数化查询
• MyBatis使用#{}而非${}进行参数绑定

2. XSS防御

输出编码：

• Spring框架使用Thymeleaf默认开启HTML转义
• JSTL的标签自动转义
• 使用OWASP Java Encoder库

Content Security Policy(CSP)：

response.setHeader("Content-Security-Policy", "default-src 'self'")

3. 命令注入防御

• 避免使用Runtime.exec()执行系统命令
• 必须使用时，严格校验输入参数
• 使用ProcessBuilder替代Runtime.exec()

四、框架层面的安全配置

Spring Security配置

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
  @Override
  protected void configure(HttpSecurity http) throws Exception {
    http
      .csrf().disable()
      .headers()
        .xssProtection()
        .contentSecurityPolicy("script-src 'self'");
  }
}

Servlet Filter配置

添加XSS防护过滤器：

@WebFilter("/*")
public class XSSFilter implements Filter {
  @Override
  public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) 
    throws IOException, ServletException {
    chain.doFilter(new XSSRequestWrapper((HttpServletRequest) request), response);
  }
}

五、最佳实践总结

1. 始终使用参数化查询而非字符串拼接
2. 对所有用户输入进行严格验证和过滤
3. 实施最小权限原则
4. 定期更新框架和依赖库
5. 使用安全扫描工具进行漏洞检测