JSP 安全編程實戰：常見漏洞與防範

前言

JSP 作為動態網頁技術，廣泛應用於企業級應用。然而，許多初學者忽視安全編程，導致嚴重漏洞。本文從實戰角度分析兩類典型安全隱患：認證繞過與 JavaBean 屬性注入，並給出防範建議。

一、認證不嚴：只鎖前門不鎖後門

案例

某論壇 user_manager.jsp 做了權限檢查：

if (session.getValue("UserName")==null || session.getValue("UserClass")==null 
    || !session.getValue("UserClass").equals("系統管理員")) {
    response.sendRedirect("err.jsp?id=14");
    return;
}

但修改用戶信息的 modifyuser_manager.jsp 卻未做任何驗證。普通用戶直接訪問 modifyuser_manager.jsp?modifyid=51 即可查看/修改任意用戶數據（含明文密碼），直到提交更新後重定向回管理頁面才被攔截。

教訓

• 每個敏感操作入口（查看、修改、刪除）都必須獨立進行身份認證與授權檢查。
• 採用統一的過濾器或攔截器實現全局權限控制，避免漏檢。
• 敏感數據（如密碼）必須加密存儲，不可明文顯示。

二、JavaBean 屬性注入：property="*" 的雙刃劍

漏洞代碼

<jsp:useBean id="myBasket" class="BasketBean">
<jsp:setProperty name="myBasket" property="*"/>
</jsp:useBean>

property="*" 會自動將請求參數綁定到 Bean 同名屬性。正常請求：addToBasket.jsp?newItem=ITEM0105342。惡意請求：addToBasket.jsp?newItem=ITEM0105342&balance=0 導致購物車金額被篡改為 0。

防範措施

• 避免使用 property="*"，改為顯式指定允許綁定的屬性：<jsp:setProperty name="myBasket" property="newItem"/>。
• 在 Bean 的 setter 方法中加入業務邏輯驗證（如金額不能為負）。
• 使用表單令牌（CSRF Token）防止跨站請求偽造。
• 採用 DTO/VO 模式，僅暴露必要字段給前端綁定。

總結

安全是系統工程，需從架構層面統一管控：認證授權前置、參數綁定白名單、敏感數據加密、統一日誌審計。養成「零信任」編程習慣，才能從源頭杜絕漏洞。