在软件开发中，安全常常被视为"上线前的安全检查"或"安全团队的职责"。但真正的安全开发，应该贯穿在编码的每个环节。Java作为企业级应用的主流语言，其安全开发实践直接影响着无数系统的安全性。
参考：https://rvxif.cn/category/oolong-tea.html
OWASP Top 10是业界公认的Web应用安全风险列表，其中许多漏洞在Java应用中频繁出现。理解这些漏洞的成因和防御方法，是Java开发者安全能力的基础。
注入漏洞长期位居OWASP Top 10榜首。在Java应用中，最常见的注入是SQL注入——攻击者将恶意SQL代码拼接到查询字符串中，可能绕过登录、窃取数据、甚至删除数据库。防御SQL注入的核心是使用参数化查询（PreparedStatement），而不是拼接SQL字符串。MyBatis、Hibernate等ORM框架在使用不当（如使用${}而非#{}）时，同样可能导致注入漏洞。
除了SQL注入，还有命令注入（Runtime.exec()接受用户输入）、LDAP注入、XML注入（XXE）等。防御原则是一致的：对用户输入进行严格验证，使用安全的API而不是字符串拼接。
参考：https://rvxif.cn/category/black-tea.html
跨站脚本攻击（XSS）是另一个常见漏洞。攻击者将恶意脚本注入到网页中，当其他用户访问时，脚本在受害者浏览器中执行，可能窃取Cookie、劫持会话、进行钓鱼攻击。在Java Web应用中，防御XSS的核心是输出编码——使用框架的自动编码功能（如Spring的Thymeleaf默认编码HTML），或手动对用户生成内容进行转义。
跨站请求伪造（CSRF）利用用户已登录的身份，在用户不知情的情况下发起恶意请求。防御CSRF的常用方法是使用同步令牌模式——在表单中嵌入一个随机生成的令牌，服务器验证令牌的有效性。Spring Security提供了内置的CSRF保护，默认开启。
不安全的反序列化是Java应用特有的高危漏洞。Java的序列化机制可以方便地将对象转换为字节流，但反序列化时，攻击者可能构造恶意字节流，触发任意代码执行。Apache Commons Collections等库的漏洞曾被用于多起严重的安全事件。防御措施包括：避免反序列化不可信数据；使用JSON等替代序列化格式；限制反序列化的类白名单；使用ValidatingObjectInputStream等安全包装器。
脆弱的依赖是Java应用被忽视的安全风险。Java生态依赖大量第三方库，但这些库可能存在已知漏洞。Spring Boot 2.6.x版本之前的多个版本存在路径遍历漏洞，Log4j2的JNDI注入漏洞更是影响巨大。防御措施包括：使用OWASP Dependency-Check或Snyk扫描依赖库；关注安全公告，及时升级受影响版本；移除未使用的依赖库。
参考：https://rvxif.cn/category/green-tea.html
认证与会话管理漏洞涉及密码存储、会话标识生成、登录防暴力破解等。密码存储不应使用MD5或SHA1（可被彩虹表破解），应使用bcrypt、PBKDF2或Argon2等慢哈希算法。会话标识应使用安全的随机生成器（SecureRandom），且应设置合理的超时时间。登录接口应增加验证码或限流机制，防止暴力破解。
敏感信息泄露包括在错误信息中暴露堆栈跟踪、在响应中返回多余的数据、在日志中记录密码或令牌。Spring Boot的默认错误页面可能暴露服务器版本信息，生产环境应关闭。日志中不应记录敏感信息，如密码、信用卡号、个人身份信息。API响应应只返回必要字段，使用DTO而非直接返回实体对象。
除了防御具体的漏洞，安全开发还需要建立纵深防御的意识。输入验证是第一道防线——永远不要信任用户输入，即使输入来自前端已经验证过的字段。最小权限原则是第二道防线——应用只拥有完成业务所需的最小数据库权限，运行进程只拥有必要的最小系统权限。审计日志是第三道防线——记录关键操作（登录失败、数据修改、权限变更），便于事后追溯。
安全开发不是"添加安全功能"，而是"以安全的方式开发"。这意味着在代码审查时关注安全问题，在编写单元测试时包含安全用例（如尝试SQL注入），在设计阶段考虑威胁建模。对于Java开发者来说，安全能力的培养需要持续投入——了解常见漏洞，跟进安全公告，学习安全工具的使用。
安全没有银弹。即使遵循了所有最佳实践，仍然可能出现漏洞。因此，Java应用还需要建立漏洞响应机制——如何快速定位受影响版本，如何热修复而不中断服务，如何通知受影响用户。安全是一个过程，而不是一个状态。
参考：https://rvxif.cn
