Java 服務端安全編程必讀：緩衝區溢出免疫、競態條件防範與權限最小化

編寫安全的互聯網應用非易事。Java Servlet/JSP/EJB 解決了 C/C++/Perl 時代大多數低級漏洞，但應用層邏輯漏洞（注入、越權、洩漏）仍需開發者守衛。本文聚焦 Java 平台固有的安全優勢與殘留風險點。

一、緩衝區溢出：Java 免疫的根本原因

C 代碼固定緩衝區大小 char buf[1000]，read() 不檢查邊界 → 溢出覆蓋返回地址/函數指針 → 執行任意代碼。
Java 以 String / byte[] 承載輸入：

• String line = in.readLine(); —— 字符串大小動態匹配輸入，不可變，零溢出風險。
• 即便用 char[] buf = new char[1000]，越界訪問拋出 ArrayIndexOutOfBoundsException，JVM 保護運行時環境不被破壞，異常可捕獲處理，絕不會導致不可預期行為。

Java 內存模型（邊界檢查、類型安全、垃圾回收）從根本上消除了緩衝區溢出攻擊面。

二、競態條件：文件系統層面的殘留風險

競態條件：檢查權限 → 使用資源 間隙被攻擊者利用（TOCTOU）。
Java 純內存操作無此問題，但文件操作仍存風險：

// 危險模式
File f = new File("temp.txt");
if (!f.exists()) f.createNewFile();  // 間隙可被搶佔
FileOutputStream out = new FileOutputStream(f);

防範：

• 使用 Files.createFile(Path, FileAttribute...) (NIO.2) 原子創建並設置權限。
• 臨時文件用 Files.createTempFile()，JVM 保證唯一性。
• 避免基於文件名的邏輯判斷，改用資料庫事務/分布式鎖協調。

三、命令注入：Runtime.exec() 的隱形殺手

// 極度危險
String cmd = "ping " + request.getParameter("host");
Runtime.getRuntime().exec(cmd);  // 輸入 "8.8.8.8; rm -rf /" → 災難

鐵律：

1. 嚴禁拼接用戶輸入進命令字符串。
2. 使用 ProcessBuilder 列表形式：new ProcessBuilder("ping", host)，參數不經 Shell 解析。
3. 輸入白名單驗證（IP 正則、域名格式）。
4. 最小權限運行：專用低權限用戶、容器化隔離、Seccomp 過濾系統調用。

四、SQL/XSS/XXE/反序列化：應用層經典漏洞

• SQL 注入：全量參數化查詢 (PreparedStatement/JPA/Hibernate Criteria)，嚴禁字符串拼接 SQL。
• XSS：輸出編碼（HTML/JS/CSS/URL 語境），CSP 頭部，模板引擎自動轉義。
• XXE：禁用外部實體 DocumentBuilderFactory.setFeature("https://apache.org/xml/features/disallow-doctype-decl", true)。
• 反序列化：拒絕不可信數據反序列化，或用 ObjectInputFilter (JDK 9+) 白名單類。

五、權限最小化與纏深防禦

• 應用用戶非 root，禁用不需的系統調用。
• 數據庫連接用只讀/寫分離賬號，嚴禁 DDL 權限。
• 敏感操作（支付、刪除）雙因子確認、審計日誌不可篡改。
• 定期依賴掃描（OWASP Dependency-Check），及時升級 CVE 組件。

Java 平台為你擋住了底層記憶體安全彈幕，但應用邏輯防線完全在你手中。將安全視為功能性需求的一部分，在每行代碼、每次 Code Review、每次發布中踐行纏深防禦。