結論
框架提供安全基礎設施，但業務層安全（SQL注入、XSS、CSRF、權限、敏感資料加密）必須開發者額外實作。光用 JEE 技術棧**不等於**系統安全。
框架內建安全機制
| 框架/層 | 內建防護 | 缺口 |
|---|
| Spring Security | 認證授權、ACL、CSRF Token、Session 固定防護、標頭安全 | 需配置規則、業務權限模型自行設計 |
| Hibernate | HQL/Criteria 參數綁定防 SQL 注入、實體驗證 | 原生 SQL (`createSQLQuery`) 仍需參數化；不防 XSS |
| Struts2 | OGNL 表達式沙箱、互斥器攔截器 | 歷史版本頻爆 OGNL RCE，必須升級最新版 |
開發者必須額外做的事（清單）
- 輸入驗證與輸出編碼：全域 `XSS Filter` (如 `ESAPI`/`OWASP Java Encoder`) + 前端 `htmlEscape`，防存儲型/反射型 XSS。
- 參數化查詢：禁止字串拼接 SQL/HQL，全面使用 `PreparedStatement` / Hibernate 參數綁定 / MyBatis `#{}`。
- 敏感資料加密：密碼 `BCrypt`/`PBKDF2`/`Argon2` 雜湊；身分證/銀行卡/手機號 **AES-GCM** 加密存儲，金鑰由 KMS/配置中心管理，不入代碼庫。
- 權限控制（RBAC/ABAC）：Spring Security `@PreAuthorize` + 自定義 `PermissionEvaluator`，方法級/資料級授權。
- CSRF 防護：Spring Security `` + 前端攜帶 `_csrf` Token（AJAX Header）。
- 安全標頭：`Content-Security-Policy`、`X-Frame-Options`、`Strict-Transport-Security`、`Referrer-Policy` 由 Nginx/Spring Security 統一加載。
- 審計日誌：關鍵操作（登入、改密、刪除、權限變更）記錄 `誰、何時、何地、做什麼、結果`，寫入不可變存儲。
- 依賴掃描與更新：`OWASP Dependency-Check` / `Snyk` 定期掃描 CVE，及時升級 Spring/Hibernate/Struts2/Jackson/Log4j 等。
總結
JEE 技術棧**提供工具箱**，安全是**系統工程**。框架幫你擋住通用漏洞，**業務邏輯漏洞（越權、價格篡改、流程繞過）完全靠開發者設計防禦**。安全無絕對，唯有纏繞式防禦（Defense in Depth）。
