如何從安全角度對Java EE應用程序進行編碼審查

我可能會被要求從安全角度對Java EE應用程序進行代碼審查。安全可能意味着這麼多的事情，所以我想問一下：如何從安全角度對Java EE應用程序進行編碼審查

什麼是我們可以在Web應用程序的源代碼，查找，同時審覈它的安全性具體的事情？
你會如何進行這樣的審計？

我很抱歉，如果這個問題是有點開放式的，但我儘量不配合下來到特定的Web框架等

我想，我也知道Web框架的選擇數據庫將會產生影響，因爲框架可以具有保護應用程序免受XSS攻擊的功能，而數據庫庫可能具有可以保護應用程序免受SQL注入攻擊的功能。

仍然有一種方法可以創建一個通用的清單，可以和應該查看的東西？

來源

2012-05-22 Parag

我認爲它屬於[代碼評論]（http://codereview.stackexchange.com/） –

有些框架確實具有可以幫助防止某些類漏洞，但你會驚訝有多少人不使用它們;錯誤地/錯誤地配置它們;或者更常見：不完全理解它們並錯誤地或不完整地使用它們，使它們仍然同樣脆弱。 – Cheekysoft

對於初學者，您可以按照OWASP top ten vulnerabilities。您可以在網站/服務上運行工具，here是一個列表。儘管這會識別漏洞，但您可以使用這些報告獲取有關代碼中查找內容的提示。哦，我剛剛發現代碼審查工具。在OWASP site :-)還有什麼地方可以，但是在OWASP site :-)

來源

2012-05-22 11:50:52 SantoshK

謝謝，我還在OWASP網站上找到了代碼審查指南https://www.owasp.org/index.php/OWASP_Code_Review_Guide_Table_of_Contents – Parag

如何從安全角度對Java EE應用程序進行編碼審查

回答

相關問題