在安全性方面避免在jsp應用程序中常見的缺陷是什麼？

Question

我開始在一個相當標準的Jsp應用程序上工作。 （Jsp，Oracle後端）。

應用程序的安全性很重要。那麼作爲新手我應該避免哪些常見的（也是不常見的）陷阱。

基本上，它只是獲取用戶輸入和一些會話管理根據用戶角色顯示數據的幾種形式。

這個討論也可以作爲未來用戶的參考。

關於

Answer 1

作爲一個開始，你應該閱讀例如http://advosys.ca/papers/web/61-web-security.html和https://www.owasp.org/index.php/Category:OWASP_Top_Ten_Project 不要試圖自己重新發明輪子。使用像Spring Security這樣的東西，而不是編寫自己的角色管理。正確地做出這樣的事情比預期的更難。

Answer 2

一個常見的錯誤是通過加入字符串來創建SQL語句，其中一些是由用戶提供的，例如在表單字段中。永遠不要這樣做;用戶可以輸入一個值來改變你的陳述的含義。這種攻擊稱爲SQL注入，非常常見。

爲了防止出現這種情況，請始終使用準備好的語句，而不是手動構建字符串中的語句。