Youhaveaddedtheitem toyourbasket。 Yourtotalis $ Proceedto checkout

你注意到property='*'了嗎？這表示用戶(hù)在可見(jiàn)JSP頁(yè)面中輸入的值或直接通過(guò)查詢(xún)字符串提交的所有變量將存儲(chǔ)在匹配的bean屬性中。

通常，用戶(hù)提交請(qǐng)求如下：http://www.somesite.com/addToBasket.jsp？newItem=ITEM0105342但是不守規(guī)矩的用戶(hù)呢？他們可能會(huì)提交：http://www.somesite.com /addToBasket.jsp?newItem=ITEM0105342&balance=0這樣，balance=0信息存儲(chǔ)在JavaBean中。當(dāng)他們點(diǎn)擊“chekout”結(jié)賬時(shí)，費(fèi)用是免費(fèi)的。這與PHP中的全局變量引起的安全問(wèn)題完全相同。這表明：“property='*'”必須謹(jǐn)慎使用！

三、長(zhǎng)盛不衰的跨站腳本

跨站點(diǎn)腳本攻擊涉及將惡意JavaScript，VBScript，ActiveX，HTML或Flash腳本插入到遠(yuǎn)程網(wǎng)頁(yè)的HTML代碼中，竊取瀏覽頁(yè)面的用戶(hù)的隱私以及更改用戶(hù)的設(shè)置。銷(xiāo)毀用戶(hù)的數(shù)據(jù)。在大多數(shù)情況下，跨站點(diǎn)腳本攻擊不會(huì)影響服務(wù)器和Web應(yīng)用程序的運(yùn)行，但會(huì)對(duì)客戶(hù)端安全構(gòu)成嚴(yán)重威脅。

四、時(shí)刻牢記SQL注入

一般的編程書(shū)籍不注重讓他們從初學(xué)者開(kāi)始就養(yǎng)成安全編程的習(xí)慣。著名的《JSP編程思想與實(shí)踐》是向初學(xué)者演示用數(shù)據(jù)庫(kù)編寫(xiě)登錄系統(tǒng)（數(shù)據(jù)庫(kù)是MySQL）

五、String對(duì)象帶來(lái)的隱患

Java平臺(tái)確實(shí)使安全編程更容易。 Java中沒(méi)有指針，這意味著Java程序不再尋址地址空間中的任何內(nèi)存位置，例如C.當(dāng)JSP文件編譯成.class文件時(shí)，會(huì)檢查安全問(wèn)題。例如，拒絕嘗試訪(fǎng)問(wèn)超出數(shù)組大小的數(shù)組元素，這很大程度上避免了緩沖區(qū)溢出攻擊。但是，String對(duì)象會(huì)給我們帶來(lái)一些安全隱患。如果密碼存儲(chǔ)在Java String對(duì)象中，則密碼將保留在內(nèi)存中，直到它被垃圾回收或進(jìn)程終止。即使垃圾收集完成，它仍將存在于空閑內(nèi)存堆中，直到它被重用。密碼字符串駐留在內(nèi)存中的時(shí)間越長(zhǎng)，竊聽(tīng)的風(fēng)險(xiǎn)就越大。更糟糕的是，如果實(shí)際內(nèi)存減少，操作系統(tǒng)會(huì)將密碼字符串頁(yè)面調(diào)度到磁盤(pán)的交換空間，因此容易受到磁盤(pán)塊竊聽(tīng)攻擊。為了最小化（但不是消除）這種折衷的可能性，您應(yīng)該將密碼存儲(chǔ)在char數(shù)組中并在使用后將其歸零（String是不可變的且不能歸零）。