安全审查

这一课你将能做到

1. 在 Code Review 中识别 SQL 注入、越权访问、敏感信息泄露三类高危漏洞
2. 判断加密、鉴权、审计日志的实现是否满足最小权限和可溯源要求
3. 建立「安全红线」清单，把 P0 安全问题变成合并阻断项

为什么要学

安全漏洞的成本不是修复一行代码，而是「通知所有用户改密码 + 监管罚款 + 品牌信任崩塌」。很多安全 bug 极其容易审查——SQL 注入、硬编码密钥、接口没鉴权——但 review 时没人专门看安全视角。

人话：安全审查不需要你是安全专家，只需要你在 review 时多问几句「这里能不能被恶意利用」。

先建立图像

CR 安全审查的「红蓝对抗」视角

蓝方（防御）                    红方（攻击者想做什么）
├─ SQL 全部参数化               → 注入数据库
├─ 接口入口鉴权（注解/拦截器）    → 越权访问别人的数据
├─ 输出编码（防 XSS）           → 把 JS 脚本塞给用户
├─ 密钥不落地代码               → 翻到密钥进生产环境
├─ 文件上传限制类型/大小          → 上传 webshell
├─ 日志脱敏                    → 日志泄露用户隐私
└─ 操作审计日志                  → 事后溯源

审查口诀：输入不轻信、输出必编码、鉴权在入口、密钥不落地。

跟着做

步骤 1：审 SQL 注入

❌ 反例：字符串拼接 SQL

@Select("SELECT * FROM course WHERE title LIKE '%" + keyword + "%'")
List<Course> search(String keyword);

攻击者输入 keyword = "'; DROP TABLE course; --"，全站课程表消失。

✅ 正例：MyBatis #{} 预编译参数化

@Select("SELECT * FROM course WHERE title LIKE CONCAT('%', #{keyword}, '%')")
List<Course> search(@Param("keyword") String keyword);

// MyBatis XML 写法
<select id="search" resultType="Course">
    SELECT * FROM course
    WHERE title LIKE CONCAT('%', #{keyword}, '%')
</select>

审查动作：搜索 PR 里的所有 SQL，看有没有 ${}（字符串替换）或字符串拼接。 #{} 是参数绑定，安全；${} 是字符串替换，危险。

步骤 2：审接口鉴权

❌ 反例：接口没鉴权

@GetMapping("/api/v1/courses/{id}/students")
public List<UserVO> getStudents(@PathVariable Long id) {
    // 没检查当前用户是否有权限查看这门课的学生
    return courseService.getStudents(id);
}

攻击者遍历 id，拿到所有课程的所有学生名单。

✅ 正例：Spring Security + 业务层鉴权

@PreAuthorize("@courseAuthChecker.isOwner(#id, authentication.name)")
@GetMapping("/api/v1/courses/{id}/students")
public List<UserVO> getStudents(@PathVariable Long id) {
    return courseService.getStudents(id);
}

或者统一在 Service 层兜底：

public List<UserVO> getStudents(Long courseId) {
    Long currentUserId = SecurityUtils.getCurrentUserId();
    Course course = courseMapper.selectById(courseId);
    if (course == null || !course.getAuthorId().equals(currentUserId)) {
        throw new AccessDeniedException("无权查看此课程的学生");
    }
    return studentMapper.listByCourse(courseId);
}