应用安全

这一课你将能做到

1. 说清 CIA 三元组（机密性、完整性、可用性），并能给本站每个组件对应一个 CIA 控制
2. 识别 OWASP Top 10 中的前 5 项，写出对应 Spring Boot 的防御代码（SQL 注入、XSS、CSRF、不安全反序列化、安全配置错误）
3. 用真实 Payload 在本站测试注入类漏洞，确认修复后的代码能拦截攻击

为什么要学

应用是最终暴露给攻击者的界面：你的 REST API、管理后台、第三方回调。无论防火墙多厚、TLS 多强，一个 Statement.execute(sql) 拼接的 SQL 注入就能让你全库裸奔。Log4Shell 也是应用层漏洞——不是网络配置问题。

人话：OWASP Top 10 是过去十年全球 web 应用漏洞的排行榜，前 5 条几乎全是输入校验问题。核心哲学只有一个——永远不要信任用户输入：表单、URL 参数、请求头、文件上传、第三方回调，全是攻击面。

先建立图像

CIA 三元组与本站映射：

机密性(C): HTTPS / AES 加密手机号 / JWT 验签
         │
完整性(I): 密码哈希不可改 / 审计日志不可删 / 参数签名
         │
可用性(A): Nginx 限流 / Redis 过期策略 / 数据库连接池上限

一次 SQL 注入的真实路径：

用户输入: ' OR '1'='1' --
          │
拼接 SQL: SELECT * FROM users WHERE username = '' OR '1'='1' --'
          │
结果: 条件永远为真，返回全部用户（包括管理员）

跟着做

步骤 1：SQL 注入——从「拼接」到「参数化」

❌ 错误示范（永不这样写）：

public User findByUsername(String username) {
    String sql = "SELECT * FROM users WHERE username = '" + username + "'";
    return jdbcTemplate.queryForObject(sql, User.class);  // 灾难
}

✅ 正确做法（PreparedStatement / JPA）：

// JDBC
public User findByUsername(String username) {
    String sql = "SELECT * FROM users WHERE username = ?";
    return jdbcTemplate.queryForObject(sql, new BeanPropertyRowMapper<>(User.class), username);
}

// JPA / Spring Data
public interface UserRepository extends JpaRepository<User, Long> {
    // 自动参数化，不要用 @Query 拼接
    Optional<User> findByUsername(String username);
}

手动构造注入 Payload 验证：

curl "https://coderoadmap.cn/api/users?username=' OR '1'='1' --"
# 正确防御时：返回空或 400，绝不应返回列表

步骤 2：XSS——输出编码 + 内容安全策略

❌ 错误：直接回显用户输入：

@GetMapping("/search")
public String search(@RequestParam String q) {
    return "<div>搜索 " + q + " 的结果</div>";  // 用户传 <script>alert(1)</script> 就执行
}

✅ 正确做法：

// 模板层（Thymeleaf 默认 HTML 编码，安全）
// 如果用前端分离（Vue/React），注意 SSR 时也要编码

// API 层直接返回 JSON，不要返回 HTML
@GetMapping("/search")
public SearchResult search(@RequestParam String q) {
    // 返回 POJO，Spring 自动 JSON 序列化，特殊字符被转义
    return searchService.find(q);
}