Fortify扫描实战：Spring Boot应用中最容易被忽略的5个高危漏洞及修复方案
Fortify扫描实战：Spring Boot应用中最容易被忽略的5个高危漏洞及修复方案
Spring Boot的便利性让开发者能够快速构建应用，但这也带来了一些安全隐患。许多团队在开发过程中过于关注功能实现，而忽视了Fortify等静态扫描工具报告中的关键漏洞。本文将深入分析5个最容易被忽略的高危漏洞，并提供可直接落地的修复方案。
1. Actuator端点信息泄露
Spring Boot Actuator是监控和管理应用的利器，但默认配置下可能成为攻击者的突破口。许多开发者启用Actuator后忘记进行适当的安全配置，导致敏感信息暴露。
典型风险场景：
/env端点暴露所有环境变量/heapdump提供内存转储下载/trace显示最近的HTTP请求
// 错误配置示例 management.endpoints.web.exposure.include=*修复方案：
- 最小化暴露端点：
management.endpoints.web.exposure.include=health,info management.endpoints.web.exposure.exclude=env,heapdump,trace- 集成Spring Security：
<dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-security</artifactId> </dependency>- 自定义安全策略：
@Configuration public class ActuatorSecurity extends WebSecurityConfigurerAdapter { @Override protected void configure(HttpSecurity http) throws Exception { http.requestMatcher(EndpointRequest.toAnyEndpoint()) .authorizeRequests() .anyRequest().hasRole("ACTUATOR") .and() .httpBasic(); } }提示：生产环境建议完全禁用非必要的Actuator端点，并通过内部网络隔离访问
2. DevTools在生产环境的误启用
Spring Boot DevTools是开发时的好帮手，但有些团队在部署时忘记移除这个依赖，导致严重的安全隐患。
风险点分析：
| 功能 | 开发环境用途 | 生产环境风险 |
|---|---|---|
| 自动重启 | 代码热更新 | 可能被利用进行恶意类加载 |
| 远程调试 | 远程开发支持 | 未授权访问可能导致代码执行 |
| LiveReload | 前端实时刷新 | 可能被用于注入恶意脚本 |
解决方案：
- Maven配置区分环境：
<profiles> <profile> <id>dev</id> <dependencies> <dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-devtools</artifactId> <optional>true</optional> </dependency> </dependencies> </profile> </profiles>- 强制检查配置：
@SpringBootApplication public class MyApp { public static void main(String[] args) { if (Arrays.stream(args).anyMatch(arg -> arg.contains("devtools"))) { throw new IllegalStateException("DevTools should not be used in production"); } SpringApplication.run(MyApp.class, args); } }3. MyBatis SQL注入漏洞
虽然MyBatis相比原生JDBC更安全，但不正确的使用方式仍然可能导致SQL注入。
高危模式对比：
| 安全写法 | 风险写法 |
|---|---|
#{param} | ${param} |
| 预编译语句 | 字符串拼接 |
| 类型处理器 | 直接值插入 |
修复示例：
// 错误用法 @Select("SELECT * FROM users WHERE name = ${name}") List<User> findByName(@Param("name") String name); // 正确用法 @Select("SELECT * FROM users WHERE name = #{name}") List<User> findByNameSecure(@Param("name") String name);深度防御方案：
- 启用MyBatis安全扫描插件：
<plugin> <groupId>org.mybatis.generator</groupId> <artifactId>mybatis-generator-maven-plugin</artifactId> <configuration> <sqlMapGenerator> <property name="enableSubPackages" value="true"/> </sqlMapGenerator> </configuration> </plugin>- 自定义SQL注入过滤器：
public class SqlInjectionFilter implements Filter { @Override public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException { String paramValues = request.getParameterMap().values().toString(); if (paramValues.matches(".*([';]+|(--)+).*")) { throw new ServletException("SQL injection detected"); } chain.doFilter(request, response); } }4. 不安全的随机数生成
Java中常见的随机数生成方式在安全场景下存在严重隐患，Fortify通常会标记此类问题。
随机数生成对比表：
| 类名 | 类型 | 安全性 | 适用场景 |
|---|---|---|---|
| java.util.Random | 伪随机 | 低 | 游戏、非安全场景 |
| java.security.SecureRandom | 密码学安全 | 高 | 会话ID、加密密钥 |
安全实践：
// 不安全用法 String resetToken = Long.toHexString(new Random().nextLong()); // 安全用法 private static final SecureRandom secureRandom = new SecureRandom(); public String generateSecureToken() { byte[] bytes = new byte[20]; secureRandom.nextBytes(bytes); return Base64.getUrlEncoder().withoutPadding().encodeToString(bytes); }进阶配置：
- 指定强随机算法：
SecureRandom.getInstanceStrong(); // 使用平台最强实现- Linux系统优化：
# 安装熵增强服务 sudo apt install haveged sudo systemctl enable haveged5. 硬编码加密密钥
Fortify扫描经常会发现代码中直接写死的加密密钥，这是极其危险的做法。
密钥管理演进路线：
硬编码（绝对避免）
// 反例 private static final String SECRET_KEY = "mySuperSecret123";环境变量（有所改善）
# application.properties app.encrypt.key=${ENCRYPT_KEY}专业密钥管理（推荐）
- AWS KMS
- HashiCorp Vault
- Azure Key Vault
Spring Cloud集成方案：
@Configuration public class KmsConfig { @Value("${aws.kms.keyId}") private String keyId; @Bean public AWSKMS kmsClient() { return AWSKMSClientBuilder.standard() .withRegion(Regions.US_EAST_1) .build(); } @Bean public String dataKey(AWSKMS kmsClient) { GenerateDataKeyRequest request = new GenerateDataKeyRequest() .withKeyId(keyId) .withKeySpec("AES_256"); return Base64.getEncoder().encodeToString( kmsClient.generateDataKey(request).getPlaintext().array()); } }临时解决方案：
public class DynamicKeyLoader { private static String decryptKey() { try { ClassPathResource resource = new ClassPathResource("encrypted_key.enc"); byte[] encrypted = FileCopyUtils.copyToByteArray(resource.getInputStream()); Cipher cipher = Cipher.getInstance("AES/GCM/NoPadding"); // 从环境变量获取主密钥 String masterKey = System.getenv("MASTER_KEY"); cipher.init(Cipher.DECRYPT_MODE, new SecretKeySpec(masterKey.getBytes(), "AES")); return new String(cipher.doFinal(encrypted)); } catch (Exception e) { throw new RuntimeException("Key decryption failed", e); } } }在实际项目部署中，我们建立了密钥轮换机制，每月自动通过KMS生成新密钥并更新所有微服务配置。这套方案实施后，Fortify扫描关于硬编码密钥的告警完全消失，同时满足了金融级的安全审计要求。