最新开发安全Java应用程序的13条规则((Mark)(1)，2024网络安全面经

大家好，欢迎来到IT知识分享网。

学习路线：

这个方向初期比较容易入门一些，掌握一些基本技术，拿起各种现成的工具就可以开黑了。不过，要想从脚本小子变成黑客大神，这个方向越往后，需要学习和掌握的东西就会越来越多以下是网络渗透需要学习的内容：

网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。

需要这份系统化资料的朋友，可以点击这里获取

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！

每当收到输入时，都应进行完整性检查和消毒。对于可能呈现给另一个工具或系统进行处理的任何事物尤其如此。例如，如果某些事情可能会成为OS命令行的参数，必须小心！

一个特殊的众所周知的实例是SQL注入，它将在下一条规则中介绍。

Java安全规则＃6：始终使用准备好的语句来处理SQL参数

每当构建一条SQL语句时，都有可能插值一段可执行代码。

知道了这一点，最好始终使用java.sql.PreparedStatement类来创建SQL。对于NoSQL存储（如MongoDB）也存在类似的功能。如果您使用的是ORM层，则实现将在后台使用PreparedStatements。

Java安全规则＃7：不要通过错误消息来揭示实现

生产中的错误消息可以为攻击者提供丰富的信息来源。堆栈跟踪尤其可以揭示有关您正在使用的技术及其使用方式的信息。避免向最终用户显示堆栈跟踪。

登录失败警报也属于此类别。通常接受的错误消息应为“登录失败”与“未找到该用户”或“密码错误”。为潜在的恶意用户提供尽可能少的帮助。

理想情况下，错误消息不应显示您应用程序的基础技术堆栈。保持该信息尽可能不透明。

Java安全性规则＃8：使安全性发布保持最新

我们需要经常检查安全更新并将其应用到JRE和JDK。

定期检查Oracle主页上的安全警报，以确保知道可用的重要补丁程序。每个季度，Oracle都会为Java的当前LTS（长期支持）版本提供一个自动补丁更新。问题是，只有在购买Java支持许可证的情况下，该补丁才可用。

如果我们的公司正在为此类许可证付费，遵循自动更新路线即可。 如果没有，比如可能正在使用OpenJDK，则必须自己进行修补。 在这种情况下，您可以应用二进制补丁，也可以简单地用最新版本替换现有的OpenJDK安装。 或者，使用商业支持的OpenJDK，例如Azul的Zulu Enterprise。

Java安全规则＃9：查找依赖项漏洞

有许多工具可以自动扫描您的代码库和相关性漏洞。您所要做的就是使用它们。

OWASP（开放式Web应用程序安全性项目）是致力于改善代码安全性的组织。 OWASP的值得信赖的高质量自动代码扫描工具列表包括多个面向Java的工具。

定期检查代码库，但还要注意第三方依赖性。攻击者同时针对开放源代码库和封闭源代码库。监视对依赖项的更新，并在发布新的安全修复程序时更新系统。

Java安全规则＃10：监视和记录用户活动

如果没有主动监视应用程序，那么即使是简单的暴力攻击也可能成功。使用监视和日志记录工具来监视应用程序的运行状况。

如果想知道监视为何如此重要，只需坐在应用程序侦听端口上观看TCP数据包即可。除了简单的用户交互之外，我们还将看到各种活动。其中一些活动将是机器人和邪恶者扫描漏洞。

应该记录和监视失败的登录尝试，并部署对策。

监视可以提醒无法解释的峰值，而日志记录可以帮助了解攻击后出了什么问题。 Java生态系统包括大量用于日志记录和监视的商业和开源解决方案。

Java安全规则＃11：当心拒绝服务（DoS）攻击

每当处理潜在的昂贵资源或进行潜在的昂贵操作时，都应防止资源使用失控。

Oracle在其“ Java SE安全编码指南”文档的“拒绝服务”标题下维护了针对此类问题的潜在媒介列表。

基本上，每当您要执行昂贵的操作（例如将压缩文件解压缩）时，都应监视资源使用量是否爆炸。不信任文件清单。仅信任实际的磁盘或内存消耗，对其进行监视，并防止服务器过度使用。

同样，在某些处理中，务必注意意外的永久循环。如果怀疑存在环路，请添加一个保护措施以确保该环路正在进展中，并在环路看起来像僵尸时将其干掉。

Java安全规则＃12：考虑使用Java安全管理器

Java有一个安全管理器，可用于限制正在运行的进程可以访问的资源。它可以根据磁盘，内存，网络和JVM访问来隔离程序。缩小对应用程序的这些要求，可以减少攻击可能造成的危害。这种隔离也可能带来不便，这就是为什么默认情况下不启用SecurityManager的原因。

必须自己决定SecurityManager的是否值得为您的应用程序提供额外的保护。请参阅Oracle文档，以了解有关Java安全管理器的语法和功能的更多信息。

Java安全规则＃13：考虑使用外部云身份验证服务

某些应用程序仅必须拥有其用户数据。其余的，云服务提供商可能有意义。

到处搜索，您会发现一系列的云身份验证提供程序。这种服务的好处在于，提供者负责保护敏感的用户数据。但是另一方面，添加身份验证服务会增加企业体系结构的复杂性。

结论

现在有13条规则来开发更安全的Java应用程序。这些规则是反复试验的，但最大的规则是：多疑。

始终以谨慎和安全意识来进行软件开发。在代码中查找漏洞，利用Java安全API和软件包，并使用第三方工具来监视和记录代码中的安全问题。

现在都说互联网寒冬，其实只要自身技术能力够强，咱们就不怕！我这边专门针对Android开发工程师整理了一套【Android进阶学习视频】、【全套Android面试秘籍】、【Android知识点PDF】。如有需要获取资料文档的朋友，可以点击我的GitHub免费获取！

给大家的福利

零基础入门

对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。

同时每个成长路线对应的板块都有配套的视频提供：

因篇幅有限，仅展示部分资料

网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。

需要这份系统化资料的朋友，可以点击这里获取

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！