Java开发初学者的五条安全小贴士

前言

得益于Java的完备生态,Java一直是非常热门的编程语言。但对于刚刚接触Java的开发者来说,很少会去关注安全相关的问题,没有养成良好的开发习惯,在开发过程中容易带来安全隐患。

我们在本文中总结了五条简单有效的小建议。

一、及时更新依赖组件版本

在Java开发中,开发者经常会用到各类开源组件来实现自己的功能点,但是许多开发者不常关注安全资讯,不了解开源组件的哪个版本存在什么样的漏洞,从而可能会引入安全漏洞。

所以在选择开源组件版本的时候,应优先选择最新发布的组件,因为最新版本的组件通常都会解决历史安全问题,因此使用最新版本组件可以将安全风险降到最低。

二、添加安全相关的HTTP请求头

现代浏览器已经支持很多和安全相关的请求头(header),当添加这些HTTP安全请求头时,浏览器在处理网站内容时会应用相应的安全机制,能够缓解XSS,代码注入,点击劫持等攻击方式。例如,使用Strict-Transport-Security(严格安全传输),就可以强制要求浏览器仅通过HTTPS进行通信。

三、异常信息不输出给用户

异常对象引起的错误返回可能包含敏感信息,在系统抛出异常后,异常信息如果输出给用户,可能会被攻击者利用。例如控制输入参数来暴露应用程序的内部结构和机制,异常消息文本和异常类型可能会泄露信息,以 FileNotFoundException 为例。这些消息包含有关文件系统布局的信息,异常类型显示丢失的请求文件。

为了保护 Java 代码应用程序,开发者们应该过滤异常消息和异常类型,避免直接暴露给用户。

四、避免记录敏感信息

开发者们在开发过程中,会接收到来自用户的许多敏感信息,例如信用卡和银行卡号码、身份证、手机号和密码等信息,这些对犯罪分子来说是高度敏感和有价值的,数据盗窃对个人和组织造成巨大伤害。

开发者们应避免将此类信息明文存储在日志文件中。 如果必须用到身份证等任何敏感信息,可以考虑仅记录身份证号的特征信息,例如最后四位数字或者hash,并确保使用经过验证的脱敏工具库对其进行加密。

五、保持代码的简洁

相对而言,越复杂的代码越容易出现问题,所以开发者应该尽量保持代码的简洁。

以下是一些保持代码简洁的实践:

  • 在不减少功能的情况下使其组织结构尽可能简单。
  • 在代码中避免公开过多的测试用户信息,有助于保持安全性和可维护性。
  • 充分利用 Java 的访问修饰符,尽可能为类、方法及其属性声明最严格的访问级别,将可以设置为私有的内容都设置为私有。
  • 定义尽可能小的 API 和接口对象,解耦组件并使它们在尽可能小的范围内交互,这样即便应用程序的某一个组件被攻击,但是其他组件还是安全的。

总结

安全问题绝大多数都是因为开发人员的安全意识薄弱所导致的,开发者们应该在Java开发的时候,提高代码安全意识和遵守代码安全规范,这会有效提高系统的安全性与流畅性。

参考链接

https://coralogix.com/blog/best-practices-for-writing-secure-java-code/

https://www.synopsys.com/blogs/software-security/spring-security-best-practices/

发布者:墨菲安全,转发请注明出处:https://www.murphysec.com/blog/knowledge-popularization/4175.html

(0)
上一篇 2023年1月4日 17:30
下一篇 2023年1月4日 17:31

相关推荐

  • 软件供应链安全相关监管要求

    引言 软件供应链是指软件从开发到交付到使用的整个过程中涉及的所有组织、人员、活动、资源和技术的集合。软件供应链具有复杂性、动态性、分布性和多样性等特点,涉及多个主体、多个环节、多个层次和多个领域。软件供应链不仅是软件产品和服务的生产者和提供者,也是软件产品和服务的消费者和使用者,构成了一个复杂的网络系统。 软件供应链面临着多方面的安全风险和挑战,如恶意代码植…

    2023年7月14日
  • 如何通过SBOM(软件物料清单)实现安全治理

    前言 SBOM(软件物料清单)是近年来在软件供应链领域频繁提到的概念,Linux基金会在2021年Q3调研了全球412 家机构发现已经有82%的人熟悉SBOM、78%的组织预计在今年使用SBOM。本文将介绍SBOM基本概念、实现方式、应用场景,帮助读者通过SBOM更高效地实现安全治理目标。 什么是SBOM 根据NTIA(美国国家电信和信息化管理局)的定义,S…

    2023年1月4日
  • 软件完整性保护方案之Sigstore

    背景 SolarWinds Orion 软件更新包在2020年底被黑客植入后门,此次攻击事件波及范围极大,包括美国政府部门、关键基础设施以及多家全球500强企业,影响难以估计。如果用户能确认软件来源是可信的 SolarWinds 官方,这次事件可能可以避免。 为了确认软件的来源和构建方式,实现完整性保护,Linux基金会联合Red Hat、Google 和 …

    2023年1月4日
  • SBOM清单是什么?

    引言 你是否知道你使用的软件都是由哪些组件构成的?你是否了解这些组件的来源、版本、许可证和安全状况?如果你是一个软件开发者或者供应链管理者,你是否能够追踪和管理你的软件产品中包含的所有组件?在当今的软件行业,这些问题都是非常重要和紧迫的。为了提高软件供应链的透明度和安全性,我们需要一种工具来帮助我们识别、记录和共享软件组件的相关信息。这就是SBOM清单。 S…

    2023年7月7日
  • Gitlab 集成 MurphySec 实时代码安全检测

    一、功能简介 将墨菲安全代码安全检测工具集成到 GitLab CI 中,可对每一次代码更新实时进行安全漏洞检测,并快速修复这些安全漏洞。 如果您使用过 GitLab CI 请直接按照第 4 步开始操作 集成效果 二、操作步骤 2.1 部署 GitLab Runner 为了使用 GitLab 的 CI/CD 功能,我们需要在一台能够访问到 GitLab 服务的…

    2023年7月17日

发表回复

您的电子邮箱地址不会被公开。 必填项已用*标注

联系我们

400-180-9568

邮件:hi@murphysec.com

工作时间:周一至周五,10:00-19:00,节假日休息

关注公众号

20230105-100741