标签：跟踪 补丁 用户交互 推荐 代码 存储 常见 解压 自动扫描
开发安全Java应用程序的13条规则安全性是软件开发中最复杂，最广泛和最重要的方面之一。在开发周期结束时，软件安全性也经常被忽视，或者被简化为仅需进行少量调整。
Java是具有许多内置安全性功能的开发平台。 Java安全性软件包已经过严格的测试，并且经常针对新的安全漏洞进行更新。 2017年9月发布的更新的Java EE安全API解决了云和微服务架构中的漏洞。 Java生态系统还包括用于分析和报告安全性问题的各种工具。
但是，即使有了一个可靠的开发平台，也要保持警惕。应用程序开发是一项复杂的工作，应该在应用程序开发的每个阶段都考虑安全性，从类级别的语言功能到API端点授权。
以下基本规则为构建更安全的Java应用程序奠定了良好的基础。
漏洞喜欢隐藏在复杂性中，因此在不牺牲功能的情况下使代码尽可能简单。使用成熟的设计原则（例如DRY）（不要重复），将帮助您编写更易于查看问题的代码。
始终在代码中公开尽可能少的信息。隐藏实施细节支持可维护和安全的代码。这三个技巧将大大有助于编写安全的Java代码：
这是另一个编码技巧，但重要的是要成为一个规则。 序列化接受远程输入，并将其转换为完全赋值的对象。 它省去了构造函数和访问修饰符，并允许未知数据流成为JVM中的运行代码。 结果，Java序列化在本质上是不安全的。
尽可能避免在Java代码中进行序列化/反序列化。 相反，请考虑使用JSON或YAML之类的序列化格式。 永远不要公开接收并作用于序列化流的不受保护的网络端点。
很难相信，但是这种可避免的错误会导致年复一年的痛苦。
当用户在浏览器中输入密码时，密码将以纯文本格式发送到服务器。那应该是它最后一次出现。我们必须先通过单向密码对密码进行加密，然后再将其持久保存到数据库中，然后在每次与该值进行比较时再次进行加密。
密码规则适用于所有个人身份信息：信用卡，社会保险号等。委托给应用程序的任何个人信息都应得到最高程度的保护。
数据库中未加密的凭据是一个巨大的安全漏洞，正在等待***者发现。同样，切勿将原始凭据写入日志，或以其他方式传输到文件或网络。要为我们的密码系统创建一个加盐的哈希并务必进行研究并使用推荐的哈希算法。
跳至规则4：始终使用库进行加密；不要自己动手。
尽可能使用已知的可靠库和框架。从密码哈希到REST API授权，这适用于整个范围。
幸运的是，Java及其生态系统对此提供了很好的支持。对于应用程序安全性，Spring Security是事实上的标准。它提供了广泛的选择范围和灵活性，以适应任何应用程序体系结构，并且融合了多种安全方法。
解决安全性的第一个本能应该是进行研究，研究最佳实践。例如，如果要使用JSON Web令牌来管理身份验证和授权，查看封装JWT的Java库，然后学习如何将其集成到Spring Security中。
无论是来自用户输入表单，数据存储区还是远程API，都不要信任外部输入。
SQL注入和跨站点脚本（XSS）只是最常见的***，可能是由于错误处理外部输入而导致的。一个不为人所知的例子（其中很多例子）是“billion laughs attack（一种 denial-of-service（DoS）***，它主要作用于XML文档解析器。它也被称为指数实体扩展***，是一种名副其实的XML炸弹。该***通过创建一系列递归的XML定义，在内存中产生上十亿的特定字符串，从而导致DoS***。原理为：构造恶意的XML实体文件以耗尽服务器可用内存，因为许多XML解析器在解析XML文档时倾向于将它的整个结构保留在内存中，上亿的特定字符串占用内存达到GB级，使得解析器解析非常慢，并使得可用资源耗尽，从而造成拒绝服务***。）”，通过这种***，XML实体扩展会导致拒绝服务***。
每当收到输入时，都应进行完整性检查和消毒。对于可能呈现给另一个工具或系统进行处理的任何事物尤其如此。例如，如果某些事情可能会成为OS命令行的参数，必须小心！
一个特殊的众所周知的实例是SQL注入，它将在下一条规则中介绍。
每当构建一条SQL语句时，都有可能插值一段可执行代码。
知道了这一点，最好始终使用java.sql.PreparedStatement类来创建SQL。对于NoSQL存储（如MongoDB）也存在类似的功能。如果您使用的是ORM层，则实现将在后台使用PreparedStatements。
生产中的错误消息可以为***者提供丰富的信息来源。堆栈跟踪尤其可以揭示有关您正在使用的技术及其使用方式的信息。避免向最终用户显示堆栈跟踪。
登录失败警报也属于此类别。通常接受的错误消息应为“登录失败”与“未找到该用户”或“密码错误”。为潜在的恶意用户提供尽可能少的帮助。
理想情况下，错误消息不应显示您应用程序的基础技术堆栈。保持该信息尽可能不透明。
我们需要经常检查安全更新并将其应用到JRE和JDK。
定期检查Oracle主页上的安全警报，以确保知道可用的重要补丁程序。每个季度，Oracle都会为Java的当前LTS（长期支持）版本提供一个自动补丁更新。问题是，只有在购买Java支持许可证的情况下，该补丁才可用。
如果我们的公司正在为此类许可证付费，遵循自动更新路线即可。 如果没有，比如可能正在使用OpenJDK，则必须自己进行修补。 在这种情况下，您可以应用二进制补丁，也可以简单地用最新版本替换现有的OpenJDK安装。 或者，使用商业支持的OpenJDK，例如Azul的Zulu Enterprise。
有许多工具可以自动扫描您的代码库和相关性漏洞。您所要做的就是使用它们。
OWASP（开放式Web应用程序安全性项目）是致力于改善代码安全性的组织。 OWASP的值得信赖的高质量自动代码扫描工具列表包括多个面向Java的工具。
定期检查代码库，但还要注意第三方依赖性。***者同时针对开放源代码库和封闭源代码库。监视对依赖项的更新，并在发布新的安全修复程序时更新系统。
如果没有主动监视应用程序，那么即使是简单的暴力***也可能成功。使用监视和日志记录工具来监视应用程序的运行状况。
如果想知道监视为何如此重要，只需坐在应用程序侦听端口上观看TCP数据包即可。除了简单的用户交互之外，我们还将看到各种活动。其中一些活动将是机器人和邪恶者扫描漏洞。
应该记录和监视失败的登录尝试，并部署对策。
监视可以提醒无法解释的峰值，而日志记录可以帮助了解***后出了什么问题。 Java生态系统包括大量用于日志记录和监视的商业和开源解决方案。
每当处理潜在的昂贵资源或进行潜在的昂贵操作时，都应防止资源使用失控。
Oracle在其“ Java SE安全编码指南”文档的“拒绝服务”标题下维护了针对此类问题的潜在媒介列表。
基本上，每当您要执行昂贵的操作（例如将压缩文件解压缩）时，都应监视资源使用量是否爆炸。不信任文件清单。仅信任实际的磁盘或内存消耗，对其进行监视，并防止服务器过度使用。
同样，在某些处理中，务必注意意外的永久循环。如果怀疑存在环路，请添加一个保护措施以确保该环路正在进展中，并在环路看起来像僵尸时将其干掉。
Java有一个安全管理器，可用于限制正在运行的进程可以访问的资源。它可以根据磁盘，内存，网络和JVM访问来隔离程序。缩小对应用程序的这些要求，可以减少***可能造成的危害。这种隔离也可能带来不便，这就是为什么默认情况下不启用SecurityManager的原因。
必须自己决定SecurityManager的是否值得为您的应用程序提供额外的保护。请参阅Oracle文档，以了解有关Java安全管理器的语法和功能的更多信息。
某些应用程序仅必须拥有其用户数据。其余的，云服务提供商可能有意义。
到处搜索，您会发现一系列的云身份验证提供程序。这种服务的好处在于，提供者负责保护敏感的用户数据。但是另一方面，添加身份验证服务会增加企业体系结构的复杂性。
现在有13条规则来开发更安全的Java应用程序。这些规则是反复试验的，但最大的规则是：多疑。
始终以谨慎和安全意识来进行软件开发。在代码中查找漏洞，利用Java安全API和软件包，并使用第三方工具来监视和记录代码中的安全问题。
标签：跟踪 补丁 用户交互 推荐 代码 存储 常见 解压 自动扫描
原文地址：https://blog.51cto.com/14820287/2504051
