Java项目简单安全处理
来源:互联网 发布:js判断两个日期大小 编辑:程序博客网 时间:2024/05/18 02:03
一、URL中参数显示问题,解决方案:
1、普通Get请求修改为Post请求
2、参数加密(js加密,Java解密)
二、Mybatis模糊查询中,sql拼接问题,解决方案方案:
1、使用安全的符号和方法,xml中拼接示例:
<if test="stateList != null"> state in <foreach collection="stateList" item="sta" index="index" open="(" separator="," close=")"> #{stateList[${index}]} </foreach></if><if test="title != null and title != ''"> and title like concat('%',#{title},'%') </if>
2、Java中转义特殊字符,Java中字符处理示例:
param = param.replace("%", "\\%");param = param.replace("_", "\\_");param = param.replace(",", "\\,");param = param.replace("'", "\\'");param = param.replace("/", "//");param = param.replace("\\", "\\\\");
三、文件上传安全问题
解决方案:判断文件名、请求ContentType和文件头内容。
文件头内容判断:
常见文件类型识别
常用文件的头信息: JPEG (jpg),文件头:FFD8FFE1 PNG (png),文件头:89504E47 GIF (gif),文件头:47494638 TIFF (tif),文件头:49492A00 Windows Bitmap (bmp),文件头:424D CAD (dwg),文件头:41433130 Adobe Photoshop (psd),文件头:38425053 Rich Text Format (rtf),文件头:7B5C727466 XML (xml),文件头:3C3F786D6C HTML (html),文件头:68746D6C3E Email [thorough only] (eml),文件头:44656C69766572792D646174653A Outlook Express (dbx),文件头:CFAD12FEC5FD746F Outlook (pst),文件头:2142444E MS Word/Excel (xls.or.doc),文件头:D0CF11E0 MS Access (mdb),文件头:5374616E64617264204A WordPerfect (wpd),文件头:FF575043 Postscript (eps.or.ps),文件头:252150532D41646F6265 Adobe Acrobat (pdf),文件头:255044462D312E Quicken (qdf),文件头:AC9EBD8F Windows Password (pwl),文件头:E3828596 ZIP Archive (zip),文件头:504B0304 RAR Archive (rar),文件头:52617221 Wave (wav),文件头:57415645 AVI (avi),文件头:41564920 Real Audio (ram),文件头:2E7261FD Real Media (rm),文件头:2E524D46 MPEG (mpg),文件头:000001BA MPEG (mpg),文件头:000001B3 Quicktime (mov),文件头:6D6F6F76 Windows Media (asf),文件头:3026B2758E66CF11 MIDI (mid),文件头:4D546864
java附件上传时后台验证上传文件的合法性
public static Map<String, String> mFileTypes = new HashMap<String, String>();static { // imagesFFD8FFE1 mFileTypes.put("FFD8FFE1", ".jpg"); mFileTypes.put("FFD8FFE0", ".jpg"); mFileTypes.put("89504E47", ".png"); mFileTypes.put("47494638", ".gif"); mFileTypes.put("49492A00", ".tif"); mFileTypes.put("424D", ".bmp"); // 办公文档类 mFileTypes.put("D0CF11E0", ".doc"); // ppt、doc、xls mFileTypes.put("504B0304", ".docx"); // pptx、docx、xlsx /** 注意由于文本文档录入内容过多,则读取文件头时较为多变-START **/ mFileTypes.put("0D0A0D0A", ".txt"); // txt mFileTypes.put("0D0A2D2D", ".txt"); // txt mFileTypes.put("0D0AB4B4", ".txt"); // txt mFileTypes.put("B4B4BDA8", ".txt"); // 文件头部为汉字 mFileTypes.put("73646673", ".txt"); // txt,文件头部为英文字母 mFileTypes.put("32323232", ".txt"); // txt,文件头部内容为数字 mFileTypes.put("0D0A09B4", ".txt"); // txt,文件头部内容为数字 mFileTypes.put("3132330D", ".txt"); // txt,文件头部内容为数字 /** 注意由于文本文档录入内容过多,则读取文件头时较为多变-END **/ mFileTypes.put("25504446", ".pdf"); mFileTypes.put("255044462D312E", ".pdf"); // 压缩包 mFileTypes.put("52617221", ".rar"); mFileTypes.put("1F8B08", ".gz");}/** * 判断上传的文件是否合法 * * @param file * 文件 * @param contentType * 是否指定类型 * @param typeStr * 文件类型后缀名(.jpg,.png,.gif,.jpeg) * @return */public Boolean checkFileIllegal(MultipartFile file, String fileName, String typeStr) { if (!file.isEmpty()) { if (StringUtils.isNotBlank(file.getContentType())) { String type = null; try { type = getFileType(file.getInputStream()); } catch (IOException e) { logger.error("checkFileIllegal->getFileType->error:" + e.getMessage()); return false; } if (null != type && -1 != typeStr.indexOf(type)) { int index = fileName.lastIndexOf("."); if (StringUtils.isNotBlank(fileName) && -1 != index) { String fileType = fileName.substring(index).toLowerCase(); if (-1 != typeStr.indexOf(fileType)) { return true; } } } } } return false;}/** * 根据文件的输入流获取文件头信息 * @return 文件头信息 */public static String getFileType(InputStream is) { byte[] b = new byte[4]; if (is != null) { try { is.read(b, 0, b.length); } catch (IOException e) { e.printStackTrace(); } } return mFileTypes.get(getFileHeader(b));}
0 0
- Java项目简单安全处理
- Java项目的安全!
- java项目跨域问题的简单处理
- java web项目安全注意事项
- Java简单文件处理
- java项目乱码处理
- java 安全方面的考虑-简单
- Java之线程安全的简单理解
- 简单安全高效的Java计数器
- Java项目开发中安全规约
- Java 简单IO文件处理
- java日期处理简单封装
- java简单异常的处理
- java中图像简单处理
- Java 异步处理简单实践
- java简单图片处理操作
- JAVA简单二值化图像处理
- [Java] J2EE项目异常处理
- 文章标题
- 使用pull解析器解析和生成xml文件
- spring-boot整合websocket
- 安全终极:读取人类大脑
- 机器学习系列(4)_机器学习算法一览,应用建议与解决思路
- Java项目简单安全处理
- Android Studio 构建项目一直卡在gradle build running
- winfrom-金融交易软件资料储备
- 11.(初级)CSS盒子计算规则
- 第三方开源库:EditText相关:GridPasswordView
- C#学习之System.Environment类
- 外网IP内网IP的区别
- 关于树形菜单的创建
- 用matlab分水岭算法做海岸线的提取