Java Web 系統常見漏洞：用戶登錄後操作的四大安全隱患與防範

專案背景

技術棧：SpringMVC + MyBatis + MySQL。涉及模組：登錄、個人信息修改、訂單詳情查詢。

四大實戰漏洞與修復方案

1. 驗證碼僅前端校驗

風險：攻擊者繞過前端，直接對登錄介面暴力破解。

修復：後端務必強制校驗驗證碼，前端校驗僅作體驗優化。

2. 缺少登錄攔截器

風險：未登錄用戶可直接訪問受保護介面（/user/**, /admin/**）。

修復：配置 SpringMVC HandlerInterceptor，攔截 /user/**、/admin/** 路徑，未登錄重定向至登錄頁。

3. 個人信息修改：直接傳遞用戶 ID

風險：用戶 A 登錄後，修改請求參數 userId=3000002，竄改用戶 B 資料（水平越權）。

修復：從 Session 獲取當前登錄用戶 ID，忽略前端傳遞的 ID，服務端以 Session 為準。

4. 訂單詳情查詢：僅憑訂單 ID 查詢

風險：用戶 A 登錄後，猜測/遍歷訂單 ID，查詢用戶 B 的訂單詳情（越權訪問）。

修復：查詢前驗證訂單創建人 ID 是否等於 Session 中的用戶 ID，不一致直接拒絕。

總結原則

• 敏感操作以服務端 Session 為權威來源，不可信任前端參數。
• 所有業務介面實施資料級權限校驗（Ownership Check）。
• 驗證碼、攔截器、參數校驗層層設防。

以上漏洞均為真實專案踩坑記錄，願與更多開發者共勉，歡迎交流更多安全實踐經驗。