Java安全开发实战：从代码防护到架构安全

1. Java安全开发实战：从代码防护到架构安全

作为一名在Java安全领域摸爬滚打多年的开发者，我见过太多因为安全漏洞导致的数据泄露和系统入侵事件。记得2018年某电商平台因为SQL注入漏洞导致百万用户数据泄露，直接损失超过千万。这让我深刻意识到：安全不是可选项，而是每个Java开发者必须掌握的生存技能。

本文将带你系统掌握Java安全开发的完整知识体系，从代码层面的漏洞防护，到架构级的安全设计。不同于市面上泛泛而谈的理论文章，这里每个方案都经过我实际项目验证，包含大量可直接落地的代码示例和避坑指南。

2. Java安全开发基础

2.1 安全开发核心原则

在开始具体技术方案前，我们需要建立正确的安全思维模式。我总结的安全开发五大黄金法则：

1. 最小权限原则
   在最近的一个金融项目中，我们为数据库账号做了精细划分：查询服务账号只有SELECT权限，交易服务账号有SELECT/INSERT权限，后台管理账号才有UPDATE权限。这样即使某个服务被入侵，攻击者也无法进行全表删除等高危操作。

2. 纵深防御策略
   防御XSS攻击时，我们建立了四层防护：

   • 前端输入过滤
   • 后端参数校验
   • 输出编码处理
   • CSP内容安全策略
     这样即使某一层防护失效，其他层仍能提供保护。

3. 数据最小化
   处理用户身份证信息时，我们只存储必要的加密哈希值，前端展示时进行脱敏处理（如"110**********1234"）。这大幅降低了数据泄露的风险。

2.2 Java应用威胁模型

根据OWASP Top 10和实际项目经验，Java应用面临的主要安全威胁可归纳为以下几类：

2.3 安全开发生命周期(SDL)

在实际项目中，我们采用以下SDL流程确保安全贯穿整个开发周期：

1. 需求阶段
   使用STRIDE模型进行威胁建模，识别各功能模块可能面临的安全风险。例如支付功能需重点防范篡改和抵赖风险。

2. 设计阶段
   选择安全的技术方案。如用户认证采用JWT+BCrypt加密而非传统的Session+Cookie。

3. 编码阶段
   遵循安全编码规范，使用FindBugs等工具进行静态扫描。

4. 测试阶段
   使用OWASP ZAP进行渗透测试，模拟各种攻击场景。

5. 运维阶段
   建立安全监控体系，对异常登录、高频请求等行为进行告警。

3. 代码级安全防护

3.1 SQL注入防护实战

3.1.1 参数化查询的正确姿势

很多开发者以为用了PreparedStatement就绝对安全，其实有几个容易踩的坑：

java复制// 错误示例1：表名使用占位符（不支持）
String sql = "SELECT * FROM ? WHERE id = ?"; // 会报错

// 错误示例2：排序字段直接拼接
String sortField = request.getParameter("sort"); 
String sql = "SELECT * FROM user ORDER BY " + sortField; // 存在注入风险

// 正确做法：表名/字段名白名单校验
public String buildOrderSql(String sortField) {
    Set<String> allowedFields = Set.of("id", "name", "create_time");
    if (!allowedFields.contains(sortField)) {
        sortField = "id";
    }
    return " ORDER BY " + sortField;
}

3.1.2 MyBatis防护技巧

在最近的项目中，我们制定了严格的MyBatis使用规范：

1. 禁止使用${}进行任何字符串拼接
2. 动态SQL使用标签而非字符串拼接
3. 批量操作使用标签

xml复制<!-- 安全示例 -->
<select id="findUsers" resultType="User">
    SELECT * FROM user
    WHERE 1=1
    <if test="name != null">
        AND name = #{name}
    </if>
    <if test="status != null">
        AND status = #{status}
    </if>
    ORDER BY 
    <choose>
        <when test="orderBy == 'name'">name</when>
        <otherwise>id</otherwise>
    </choose>
</select>

3.1.3 实战中的坑

我们曾遇到一个隐蔽的注入案例：开发者在like查询时这样写：

java复制String sql = "SELECT * FROM user WHERE name LIKE '%" + name + "%'";

即使使用PreparedStatement，这种写法仍然危险。正确做法：

java复制PreparedStatement pstmt = conn.prepareStatement(
    "SELECT * FROM user WHERE name LIKE ?");
pstmt.setString(1, "%" + name + "%");

3.2 XSS防护体系

3.2.1 多层级防御方案

我们在电商项目中建立了四层XSS防护：

1. 前端过滤
   使用DOMPurify对富文本输入进行清理：

   javascript复制const cleanHtml = DOMPurify.sanitize(dirtyHtml);
   

2. 后端校验
   自定义Validator注解：

   java复制@Target({FIELD, PARAMETER})
   @Retention(RUNTIME)
   @Constraint(validatedBy = XssValidator.class)
   public @interface XssSafe {
       String message() default "包含非法字符";
       Class<?>[] groups() default {};
       Class<? extends Payload>[] payload() default {};
   }
   

3. 输出编码
   Thymeleaf默认开启HTML转义，对于需要输出HTML的情况：

   html复制<div th:utext="${#strings.escapeXml(content)}"></div>
   

4. CSP策略
   Spring Security配置：

   java复制http.headers(headers -> headers
       .contentSecurityPolicy(policy -> policy
           .policyDirectives("default-src 'self'; script-src 'self' cdn.example.com")
       )
   );
   

3.2.2 富文本编辑器的特殊处理

对于需要保留HTML格式的内容（如商品详情），我们采用以下方案：

1. 使用Jsoup定义严格的白名单

   java复制Whitelist whitelist = Whitelist.basicWithImages()
       .addAttributes(":all", "style", "class")
       .removeProtocols("img", "src", "http", "https");
   

2. 清理后存储纯HTML，不存储原始输入

3. 展示时不再二次转义，但严格限制iframe等危险标签

3.3 CSRF防护进阶

3.3.1 双重Token方案

对于敏感操作（如转账），我们在标准CSRF Token基础上增加：

1. 操作Token
   用户发起关键操作前，先获取一次性Token：

   java复制String actionToken = UUID.randomUUID().toString();
   redisTemplate.opsForValue().set("action_token:"+userId, actionToken, 5, MINUTES);
   

2. 二次确认
   前端提交时同时携带会话Token和操作Token：

   javascript复制fetch('/api/transfer', {
       method: 'POST',
       headers: {
           'X-CSRF-TOKEN': getCSRFToken(),
           'X-ACTION-TOKEN': actionToken
       }
   })
   

3.3.2 同源策略的坑

我们曾遇到一个案例：即使有CSRF Token，仍然发生了攻击。原因是：

1. 主站域名：www.example.com
2. 接口域名：api.example.com

由于浏览器认为这是不同源，不会自动携带Cookie。解决方案：

1. 设置Cookie的Domain为.example.com
2. 确保SameSite=None; Secure
3. 前端显式设置withCredentials

java复制ResponseCookie.token = ResponseCookie.from("token", token)
    .domain(".example.com")
    .sameSite("None")
    .secure(true)
    .build();

3.4 文件上传安全

3.4.1 文件校验的完整方案

在云存储项目中，我们实现了五重校验：

1. 后缀名白名单
2. MIME类型校验
3. 文件头魔数校验
4. 内容扫描（防病毒）
5. 二次转码（图片/视频）

java复制// 魔数校验示例
public boolean isPng(InputStream is) throws IOException {
    byte[] header = new byte[8];
    is.read(header);
    return Arrays.equals(header, new byte[]{
        (byte) 0x89, 0x50, 0x4E, 0x47, 0x0D, 0x0A, 0x1A, 0x0A
    });
}

3.4.2 云端存储最佳实践

我们推荐的做法：

1. 使用临时凭证上传（STS Token）
2. 文件最终存储路径由服务端决定
3. 通过CDN分发，原始存储桶不可直接访问
4. 设置生命周期自动清理旧文件

java复制// 阿里云OSS示例
OSSSigner signer = new OSSSigner();
String policy = "{\"expiration\":\"2025-01-01T12:00:00Z\","
    + "\"conditions\":[[\"content-length-range\", 0, 104857600]]}";
String signedUrl = signer.generatePresignedUrl(
    bucketName, objectName, expiration, HttpMethod.PUT, policy);

4. 认证授权体系

4.1 密码安全实践

4.1.1 密码加密演进

我们经历了三次密码存储方案的升级：

1. MD5时代

   java复制DigestUtils.md5Hex(password + "staticSalt");
   

   问题：彩虹表轻松破解

2. SHA-256加盐

   java复制String salt = UUID.randomUUID().toString();
   String hash = sha256(password + salt);
   

   改进：每个用户不同盐值

3. BCrypt时代

   java复制BCryptPasswordEncoder encoder = new BCryptPasswordEncoder(12);
   String hash = encoder.encode(password);
   

   最佳：自适应成本因子，内置盐值

4.1.2 密码策略设计

金融级密码要求：

1. 最小长度12位
2. 必须包含大小写字母、数字、特殊字符
3. 不得包含用户名、连续数字、常见单词
4. 定期强制更换（90天）
5. 禁止重复使用最近5次密码

java复制public void validatePassword(String username, String newPassword, String... oldPasswords) {
    // 长度检查
    if (newPassword.length() < 12) throw new WeakPasswordException();
    
    // 复杂度检查
    if (!newPassword.matches("^(?=.*[a-z])(?=.*[A-Z])(?=.*\\d)(?=.*[!@#$%^&*()]).+$")) {
        throw new WeakPasswordException();
    }
    
    // 包含用户名检查
    if (newPassword.toLowerCase().contains(username.toLowerCase())) {
        throw new WeakPasswordException();
    }
    
    // 历史密码检查
    for (String oldPwd : oldPasswords) {
        if (passwordEncoder.matches(newPassword, oldPwd)) {
            throw new ReusedPasswordException();
        }
    }
}

4.2 JWT安全进阶

4.2.1 JWT最佳实践

经过多个项目实践，我们总结出以下要点：

1. 使用RS256而非HS256算法
2. 设置合理的过期时间（Access Token: 1小时，Refresh Token: 7天）
3. 实现Token自动续期
4. 加入jti(JWT ID)防止重放攻击
5. 关键操作要求二次认证

java复制public String generateToken(UserDetails user) {
    // 使用RSA私钥签名
    PrivateKey privateKey = loadPrivateKey();
    
    return Jwts.builder()
        .setSubject(user.getUsername())
        .claim("roles", user.getAuthorities())
        .setIssuedAt(new Date())
        .setExpiration(new Date(System.currentTimeMillis() + 3600000))
        .setId(UUID.randomUUID().toString()) // jti
        .signWith(privateKey, SignatureAlgorithm.RS256)
        .compact();
}

4.2.2 Token吊销方案

JWT的无状态特性导致难以直接吊销，我们采用以下方案：

1. 短期Token+Refresh Token
   缩短Access Token有效期（如15分钟），通过Refresh Token续期

2. 黑名单机制
   将被吊销的Token jti存入Redis，设置TTL为Token剩余有效期

java复制@RestController
public class AuthController {
    @PostMapping("/logout")
    public void logout(@RequestHeader("Authorization") String token) {
        String jti = parseJti(token);
        redisTemplate.opsForValue().set(
            "jwt:blacklist:" + jti, 
            "1", 
            getRemainingExpiration(token), 
            TimeUnit.MILLISECONDS
        );
    }
}

4.3 权限模型设计

4.3.1 RBAC扩展模型

标准RBAC无法满足复杂场景，我们扩展出以下模型：

1. 数据权限
   在角色基础上增加数据范围控制：

   java复制@PreAuthorize("hasRole('DEPARTMENT_MANAGER') && 
       @dataSecurity.hasAccess(#deptId, authentication)")
   public List<Employee> getDepartmentEmployees(String deptId) {
       // ...
   }
   

2. 操作权限
   细粒度控制按钮级权限：

   html复制<button th:if="${#authorization.expression('hasAuthority('EMPLOYEE_EDIT')')}">
       编辑员工
   </button>
   

3. 时间权限
   限制某些操作只能在特定时间段执行：

   java复制@PreAuthorize("@timeSecurity.allowAccess('FINANCE_REPORT', authentication)")
   public Report generateFinancialReport() {
       // ...
   }
   

4.3.2 权限缓存策略

权限检查可能成为性能瓶颈，我们采用三级缓存：

1. 本地缓存
   Caffeine缓存用户权限，有效期5分钟

   java复制LoadingCache<String, Set<String>> permissionCache = Caffeine.newBuilder()
       .expireAfterWrite(5, TimeUnit.MINUTES)
       .build(username -> loadPermissionsFromDB(username));
   

2. Redis缓存
   集群间共享权限数据，有效期1小时

3. 数据库
   最终权限数据源，变更时主动清除缓存

5. 微服务安全架构

5.1 API网关安全设计

5.1.1 统一认证流程

我们的网关认证流程：

1. 客户端携带JWT访问网关
2. 网关校验JWT签名和有效期
3. 查询Redis检查Token是否被吊销
4. 将用户信息添加到请求头转发给下游服务
5. 下游服务信任网关转发的用户信息

java复制public Mono<Void> filter(ServerWebExchange exchange, GatewayFilterChain chain) {
    // 1. 提取Token
    String token = extractToken(exchange.getRequest());
    
    // 2. 验证Token
    if (!jwtUtil.validate(token)) {
        return unauthorized(exchange);
    }
    
    // 3. 检查吊销列表
    if (redisTemplate.hasKey("jwt:blacklist:" + jwtUtil.getJti(token))) {
        return unauthorized(exchange);
    }
    
    // 4. 转发用户信息
    ServerHttpRequest request = exchange.getRequest().mutate()
        .header("X-User-Id", jwtUtil.getSubject(token))
        .header("X-Roles", String.join(",", jwtUtil.getRoles(token)))
        .build();
    
    return chain.filter(exchange.mutate().request(request).build());
}

5.1.2 精细化限流

我们根据业务特点实施差异化限流：

1. 登录接口：100次/小时/IP
2. 查询接口：1000次/分钟/用户
3. 支付接口：30次/分钟/用户
4. 管理接口：50次/分钟/IP

yaml复制spring:
  cloud:
    gateway:
      routes:
        - id: auth-service
          uri: lb://auth-service
          predicates:
            - Path=/api/auth/**
          filters:
            - name: RequestRateLimiter
              args:
                redis-rate-limiter.replenishRate: 100
                redis-rate-limiter.burstCapacity: 150
                key-resolver: "#{@remoteAddrKeyResolver}"

5.2 服务间安全通信

5.2.1 mTLS双向认证

在金融级项目中，我们实施以下方案：

1. 为每个服务颁发客户端证书
2. 服务启动时加载证书
3. 所有服务间通信必须使用HTTPS
4. 服务端验证客户端证书

java复制@Bean
public WebClient webClient(SSLContext sslContext) {
    SslContext ssl = SslContextBuilder.forClient()
        .trustManager(InsecureTrustManagerFactory.INSTANCE) // 生产环境用CA证书
        .keyManager(
            getClass().getResourceAsStream("/client.crt"),
            getClass().getResourceAsStream("/client.key")
        )
        .build();
    
    HttpClient httpClient = HttpClient.create()
        .secure(t -> t.sslContext(ssl));
    
    return WebClient.builder()
        .clientConnector(new ReactorClientHttpConnector(httpClient))
        .build();
}

5.2.2 服务身份认证

除了证书，我们还实现了服务间JWT认证：

1. 服务启动时从Auth Service获取Service Token
2. 服务间调用携带该Token
3. 被调服务验证Token中的服务身份和权限

java复制@FeignClient(name = "inventory-service", configuration = FeignConfig.class)
public interface InventoryClient {
    @GetMapping("/api/inventory/{sku}")
    Inventory getInventory(@PathVariable String sku);
}

public class FeignConfig {
    @Bean
    public RequestInterceptor serviceAuthInterceptor() {
        return template -> {
            String token = getServiceToken();
            template.header("Authorization", "Bearer " + token);
        };
    }
}

5.3 配置安全管理

5.3.1 敏感配置加密

我们采用以下方案保护敏感配置：

1. 使用Jasypt加密数据库密码等敏感信息
2. 加密密钥通过环境变量传入
3. 配置中心传输使用HTTPS
4. 生产环境密钥由KMS管理

yaml复制spring:
  datasource:
    password: ENC(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