对Java安全编码的主要规范及要求的一些整理：
一、输入验证与数据校验
-
外部输入校验
- 对所有外部输入（如用户输入、文件、网络数据）进行合法性校验，采用白名单机制限制输入内容范围 。
- 校验前对输入数据做归一化处理（如使用
java.text.Normalizer），防止字符转义绕过校验 。
-
防止注入攻击
- 禁止直接拼接外部输入生成SQL语句，应使用
PreparedStatement或存储过程 。 - 避免用外部输入拼接XML或命令，需通过正则表达式或安全API过滤特殊字符 。
- 禁止直接拼接外部输入生成SQL语句，应使用
-
路径安全处理
- 对文件路径进行标准化处理（如使用
getCanonicalPath()），避免相对路径（.或..）导致的路径遍历漏洞 。
- 对文件路径进行标准化处理（如使用
二、异常与日志安全
-
异常处理
- 禁止在异常信息中暴露敏感数据（如数据库连接信息、堆栈细节），仅记录必要日志。
-
日志规范
- 避免记录未净化的用户输入，防止日志注入攻击 。
- 禁止在日志中保存口令、密钥等敏感信息 。
三、资源与IO操作
-
文件与流管理
- 临时文件使用后需立即删除，避免长期驻留 。
- 对
ZipInputStream等压缩流中的条目做大小限制，防止解压炸弹攻击 。 - 避免在共享目录操作文件，创建文件时需显式设置访问权限（如
POSIXFilePermission） 。
-
缓冲区安全
- 禁止将非只读的
Buffer对象（如通过wrap()或duplicate()创建）暴露给不受信任的代码，应使用asReadOnlyBuffer()。
- 禁止将非只读的
四、序列化安全
-
敏感数据保护
- 敏感字段需用
transient关键字标记，或通过自定义writeObject()方法避免序列化 。 - 序列化传输敏感数据前需进行签名和加密 。
- 敏感字段需用
-
反序列化防护
- 避免直接反序列化不可信数据，防止利用反序列化漏洞执行恶意代码 。
五、加密与算法
-
加密算法选择
- 使用强加密算法（如AES-256、RSA-2048、SHA-256），禁用DES、SHA-1等弱算法。
-
密钥管理
- 密钥禁止硬编码在代码中，推荐使用安全的密钥管理系统 。
六、其他安全措施
-
并发与线程安全
对共享资源使用线程安全类（如ConcurrentHashMap）或同步机制，避免竞态条件 。 -
环境变量使用
避免依赖环境变量（System.getenv()），优先使用系统属性（System.getProperty()）
代码安全审计工具的分类及核心功能概览
综合开源与商业工具特点：
一、开源工具
-
SonarQube
- 适用语言：Java、C#、Python、JavaScript等20+语言
- 功能特点：提供代码质量管理、漏洞检测、重复代码分析，支持与CI/CD集成，社区版开源。
- 典型场景：适用于企业级代码质量持续监控，如Google、eBay等大型项目。
-
OWASP ZAP
- 适用语言：Web应用（语言无关）
- 功能特点：动态安全扫描工具，支持自动化漏洞检测（如XSS、SQL注入），提供API安全测试。
二、商业工具
-
Fortify SCA
- 适用语言：Java、C/C++、.NET等
- 功能特点：静态代码分析商业工具，支持跨语言数据流分析，集成漏洞修复建议。
- 典型场景：金融、政府等高安全需求领域。
-
Checkmarx
- 适用语言：Java、JavaScript、Python等
- 功能特点：基于深度学习的漏洞检测，支持复杂业务逻辑漏洞识别，提供交互式修复指导。
-
Veracode
- 适用语言：Java、C/C++、PHP等
- 功能特点：云端SAST平台，支持二进制分析和依赖项扫描，提供优先级漏洞列表。
-
Coverity
- 适用语言：C/C++、Java、C#等
- 功能特点：高精度静态分析工具，擅长发现内存泄漏、并发问题，支持大规模代码库。
三、工具对比
| 工具类型 | 代表工具 | 核心优势 | 适用场景 |
|---|---|---|---|
| 开源 | SonarQube | 灵活扩展、社区支持 | 中小团队、预算有限项目 |
| 商业 | Fortify SCA、Checkmarx | 深度分析、企业级支持 | 高安全要求的金融/政府项目 |
四、选型建议
- 开源工具：适合预算有限、需快速启动的项目，推荐SonarQube（综合管理）或OWASP ZAP（动态扫描）。
- 商业工具：优先选择Fortify SCA（多语言支持）或Checkmarx（复杂漏洞检测）以满足深度审计需求。
工具选择需结合项目规模、技术栈和安全等级，建议结合自动化扫描与人工审查以提高审计覆盖率。