Java安全编码规范-1.0.4 by k4n5ha0

• Java安全编码规范-1.0.4 by k4n5ha0

• 1.《信息安全技术 应用软件安全编程指南》（国标 GBT38674-2020）

• 2.《Common Weakness Enumeration》 - 国际通用计算机软件缺陷字典

• 3.《OWASP Top 10 2017》 - 2017年十大Web 应用程序安全风险

• 4.《fortify - 代码审计规则》

• 5.《java开发手册》（阿里巴巴出品）

• 编写依据与参考文件：

• 第一条 设计开发必须符合概要设计及安全防护方案

• 项目管理要求↓：

• 第二条 上线代码必须进行严格的安全测试并进行软著备案

• 项目管理要求↓：

• 第三条 严格限制帐号访问权限

• 程序设计要求↓：

• 第四条 提供完备的安全审计功能

• 程序设计要求↓：

• 第五条 采取有效措施保证认证安全

• 程序设计要求↓：

• 第六条 保证代码简洁、注释明确

• 安全编码要求↓：

• 第七条 使用安全函数和安全规范验证所有外部输入

• 1.XStream

• 2.javax.xml.parsers.DocumentBuilderFactory

• 3.org.jdom2.input.SAXBuilder

• 4.javax.xml.parsers.SAXParserFactory

• 5.org.dom4j.io.SAXReader

• 6.org.xml.sax.XMLReader

• 7.javax.xml.transform.sax.SAXTransformerFactory

• 8.javax.xml.validation.SchemaFactory

• 9.javax.xml.transform.TransformerFactory

• 1.配置全局反序列化白名单

• 2.jackson 安全反序列化编码示例

• 3.fastjson 安全反序列化编码示例

• 4.XStream 安全反序列化编码示例

• 1.不受信任的Cookie头

• 2.不受信任的Content-Type请求头

• 3.不受信任的HOST请求头

• 4.不受信任的User-Agent请求头

• 安全编码要求↓：

• HTTP参数污染

• 不受信任的查询字符串

• 不受信任的HTTP请求头

• 缺少 CSRF 攻击的防护

• 客户端请求伪造

• 服务端请求伪造

• 恶意的命令注入

• 不安全的反序列化

• XML外部实体（XXE）攻击

• XPath注入

• EL表达式引擎代码注入

• JS脚本引擎代码注入

• JavaBeans属性注入

• 不安全的对象绑定

• 正则表达式DOS（ReDOS）

• 跨站脚本攻击（XSS）

• 第八条 必须过滤上传文件

• 安全编码要求↓：

• 潜在的路径遍历（读取文件）

• 潜在的路径遍历（写入文件）

• 第九条 确保多线程编程的安全性

• 安全编码要求↓：

• 竞争条件

• 第十条 设计错误、异常处理机制

• 安全编码要求↓：

• 第十一条 数据库操作使用参数化请求方式

• 1.jdbc安全编码规范

• 2.Mybatis安全编码规范

• 安全编码要求↓：

• SQL注入

• LDAP注入

• 第十二条 禁止在源代码中写入口令、服务器IP等敏感信息

• 安全编码要求↓：

• 硬编码密码

• 硬编码密钥

• 第十三条 为所有敏感信息采用加密传输

• 名称类信息脱敏规则：

• 联系类信息脱敏规则：

• 证件号脱敏规则：

• 程序设计要求↓：

• 安全编码要求↓：

• 接受任何证书的TrustManager

• 接受任何签名证书的HostnameVerifier

• 第十四条 使用可信的密码算法

• 程序设计要求↓：

• 禁止使用弱加密

• 安全编码要求↓：

• 可预测的伪随机数生成器

• 错误的十六进制串联

• 第十五条 禁止在日志、表单、cookie等文件中记录口令、银行账号、通信内容等敏感数据

• 安全编码要求↓：

• Cookie中的潜在敏感数据

• 日志伪造

• HTTP响应截断

• 第十六条 禁止高风险的服务及协议

• 程序设计要求↓：

• 安全编码要求↓：

• 不安全的HTTP动词

• 第十七条 避免异常信息泄漏

• 安全编码要求↓：

• 意外的属性泄露

• 不安全的 SpringBoot Actuator 暴露

• 不安全的 Swagger 暴露

• 第十八条 严格会话管理

• 安全编码要求↓：

• 缺少HttpOnly标志的Cookie

• 不安全的CORS策略

• 不安全的永久性Cookie

• 不安全的广播（Android）

---

编写依据与参考文件：

1.《信息安全技术 应用软件安全编程指南》（国标 GBT38674-2020）

2.《Common Weakness Enumeration》 - 国际通用计算机软件缺陷字典

3.《OWASP Top 10 2017》 - 2017年十大Web 应用程序安全风险

4.《fortify - 代码审计规则》

5.《java开发手册》（阿里巴巴出品）

https://gitee.com/9199771/sec_coding/blob/master/sec_coding.md