第一篇：Java安全開發規范
Java安全開發規范 第1章
前言
為提高應用安全水平，特制定本規范對代碼編制進行規范。規范中的安全要求按照嚴格程度分為三級： > Policy 必須遵循的策略，實現方法可以自定義，但不能外翻策略的規定。> Discipline 必須遵守的紀律，必須按照規定中的描述實施，絕對不能違反。> Guideline 建議性的指南和規范，將逐步要求遵循實施。第2章 Java安全性開發規范 2.1 跨站腳本XSS * 風險及危害性：
跨站腳本XSS指利用網站漏洞從用戶那里惡意盜取信息。用戶在瀏覽網站、使用即時通訊軟件、甚至在閱讀電子郵件時，通常會點擊其中的鏈接。攻擊者通過在鏈接中插入惡意代 碼，就能夠盜取用戶信息。攻擊者通常會用十六進制（或其他編碼方式）將鏈接編碼，以免用戶懷疑它的合法性。網站在接收到包含惡意代碼的請求之后會產成一個 包含惡意代碼的頁面，而這個頁面看起來就像是那個網站應當生成的合法頁面一樣。許多流行的留言本和論壇程序允許用戶發表包含HTML和 javascript的帖子。假設用戶甲發表了一篇包含惡意腳本的帖子，那么用戶乙在瀏覽這篇帖子時，惡意腳本就會執行，盜取用戶乙的session信 息。
如何導致XSS攻擊，一般來說來自http的post，或者get方式取得參數值很可能為惡意代碼，如果開發者直接用這些參數組合成http鏈接，用戶點擊該連接，就會造成XSS攻擊風險。* 應對措施
開發者要保證代碼的安全性，使其免受XSS攻擊，可采取以下措施：
1． 過濾或轉換用戶提交數據中的HTML代碼。
2． 限制用戶提交數據的長度 * 非安全代碼示例
<%
String mofWindowId = request.getParameter(“mofWindowId”);
%>
name=“importXml” action=“mofXml.cmd?method=importMofXml&primaryKey=<%=mofWindowId%>” method=“post”> * 安全代碼示例 <% String mofWindowId=XSSCheck.getParameter(request,“mofWindowId”); %> name=“importXml” action=“mofXml.cmd?method=importMofXml&primaryKey=<%=mofWindowId%>” method=“post”> 注：XSSCheck為公用工具類，用于XSS檢查，其getParameter實現邏輯如下： 1、通過參數名稱，從請求中取得參數值。 2、將&,<,>,',“轉義: &-> & <-> >-> > ”-> “ '-> ′ 3、返回安全的字符串。 2.2 違反信任邊界規則（Trust Boundary Violation） * 風險及危害 一個受信任的邊界可以被認為是由系統劃出的邊境，例如session,attribute，aplication,數據庫，文件等在服務端存儲邊界都認為是受信任的。反之來來自http的post，或者get方式取得參數值是不受信任的。凡是將非受信任邊界的參數轉入到受信任的邊界內，需要對參數值進行檢查，否則造成信任邊界違例，當開發者直接操作受信邊界內部的參數時會認為該參數是安全的，而造成安全隱患，例如腳本注入，XSS攻擊等。* 應對措施 開發者要保證代碼的安全性，當參數信任邊界切換的時候，對參數值進行檢查，檢查其內容里是否用非法腳本信息： 1． 過濾或轉換用戶提交數據中的HTML代碼。 2． 限制用戶提交數據的長度 * 非安全代碼示例 String dsn = request.getParameter(”DSN“); String sql = request.getParameter(”SQL“); if(sql == null){ sql = ”“; } dsn =(String)session.getAttribute(”SqlHelper.DSN“); } else { session.setAttribute(”SqlHelper.DSN“, dsn); } * 安全代碼示例 String dsn = XSSCheck.getParameter(request,”DSN“); String sql = request.getParameter(”SQL“); if(sql == null){ sql = ”“; } dsn =(String)session.getAttribute(”SqlHelper.DSN“); } else { session.setAttribute(”SqlHelper.DSN“, dsn); } 2.3 不安全的反射（Unsafe Reflection） * 風險及危害 攻擊者能夠建立一個不可預測的、貫穿應用程序的控制流程，使得他們可以潛在地避開安全檢測。攻擊者能夠建立一個在開發者意料之外的、不可預測的控制流程，貫穿應用程序始終。這種形式的攻擊能夠使得攻擊者避開身份鑒定，或者訪問控制檢測，或者使得應用程序以一種意料之外的方式運行。如果攻擊者能夠將文件上傳到應用程序的classpath或者添加一個classpath的新入口，那么這將導致應用程序陷入完全的困境。無論是上面哪種情況，攻擊者都能使用反射將新的、多數情況下惡意的行為引入應用程序。* 應對措施 開發者可以定制一份白名單，通過關鍵字關聯需要實例化的類，http請求中傳遞是不是實際的類名，而是關鍵字，開發者得到關鍵字后在白名單中尋找需要的信息，進行實例化。* 非安全代碼示例 String className = request.getParameter(”classname“); if((className!= null)&&((className = className.trim()).length()!= 0)){ // Attempt to load class and get its location.try { ProtectionDomain pd = Class.forName(className).getProtectionDomain(); if(pd!= null){ CodeSource cs = pd.getCodeSource();* 安全代碼示例 String classNameKey = request.getParameter(”classname“); String className=WhiteList.get(classNameKey); if((className!= null)&&((className = className.trim()).length()!= 0)){ // Attempt to load class and get its location.try { ProtectionDomain pd = Class.forName(className).getProtectionDomain(); if(pd!= null){ CodeSource cs = pd.getCodeSource(); 注1：WhiteList.get其具體實現如下： 1、從描述白名單的文件中，讀出白名單列表； 2、根據傳入的關鍵值尋找該白名單的真實值； 3、返回該值，如果沒有找到，拋出異常。2.4 SQL 注入（SQL Injection） * 風險及危害： SQL注入是一種常見攻擊方式，由于開發者采用sql拼湊的方式，用來自網絡中不安全的參數形成sql語句訪問數據庫，攻擊者常常采用該漏洞組合成非法的sql語句，使得信息泄露，訪問到本來沒有權限查看的內容或者直接破壞數據庫信息等。發生SQL Injection有以下幾種方式： 一、進入程序的數據來自不可信賴的資源。 二、數據用于動態構造一個SQL查詢。* 應對措施： 一、開發者可以采用帶參方式訪問sql語句訪問數據庫，在java中即采用PreparedStatement的方式訪問數據庫。 二、如果開發者一定要使用sql拼湊的方式訪問數據，對字符串要檢查并過濾單引號',對于可能為整形或者浮點類型參數，要先轉整形，或者浮點，再進行拼湊。* 非安全代碼示例 String userid=(String)session.getAttribute(”classname“); String param1= request.getParameter(”param1“); StringBuffer strbuf=new StringBuffer(); strbuf.append(”select * from table1 where userid=“); strbuf.append(userid); strbuf.append(” and param1='“).append(param1).append(”'“); String sql=strbuf.toString(); //當param1為 test' or 1=1 那么這條語句就為 select * from table1 where userid=$userid and param1='test' or 1=1這樣查詢出來的數據就超越了這個用戶訪問的范圍。* 安全代碼示例 方法一：采用PreparedStatement訪問數據庫。 String userid=(String)session.getAttribute(”classname“); String param1= request.getParameter(”param1“); StringBuffer strbuf=new StringBuffer(); String sql= ”select * from table1 where userid=? and param1=?“;方法二：檢查并過濾特殊字符 String userid=(String)session.getAttribute(”classname“); String param1= request.getParameter(”param1“); StringBuffer strbuf=new StringBuffer(); strbuf.append(”select * from table1 where userid=“); strbuf.append(userid); strbuf.append(” and param1='“) .append(SqlInjectCheck.checkStringValue(param1)).append(”'“); String sql=strbuf.toString(); 注：SqlInjectCheck.checkStringValue是公用函數，其實現如下： 1、將'轉化成′ 2、返回字符串。 2.5 系統信息泄露（System Information Leakage）* 風險及危害： JSP中出現HTML注釋（System Information Leakage：HTML Comment in JSP），攻擊者可以通過html的注釋得到用于攻擊的信息。* 應對措施： 應該使用JSP注釋代替HTML注釋。(JSP注釋不會被傳遞給用戶)。* 非安全代碼示例 * 安全代碼示例 <%//此處是取得系統信息的注釋%> 2.6 資源注入(resource injection)* 風險及危害： 允許用戶可以通過輸入來控制資源標識符，會讓攻擊者有能力訪問或修改被保護的系統資源。 發生resource injection有以下兩種方式： 1.攻擊者可以指定已使用的標識符來訪問系統資源。例如，攻擊者可以指定用來連接到網絡資源的端口號。 2.攻擊者可以通過指定特定資源來獲取某種能力，而這種能力在一般情況下是不可能獲得的。* 應對措施 開發者可以定制一份白名單，通過關鍵字關聯需要資源內容，http請求中傳遞是不是實際的資源內容，而是關鍵字，開發者得到關鍵字后在白名單中尋找需要的信息，進行后續操作。 * 非安全代碼示例 String dsn = request.getParameter(”DSN“);DataSource ds =(DataSource)ctx.lookup(dsn);* 安全代碼示例 String dsnKey = request.getParameter(”DSN ");String dsn =WhiteList.get(dsnKey);DataSource ds =(DataSource)ctx.lookup(dsn); 個 人 簡 歷 個人信息 姓名：xxxxxxx性別：x 電話：187-xxx7-xxxx年齡：22 郵箱： lxxxxxxx@xxx.com專業：軟件技術應聘職位 Java軟件開發工程師 專業技能 熟練掌握CoreJava編程，具有扎實的編程功底和良好的編碼習慣 熟練掌握ssh(Struts2+hibernate+Spring)等輕量級框架 熟悉MVC開發模式 熟練使用Eclipse/MyEclipse工具進行Java軟件開發 熟練Unix/Linux環境下Java的應用軟件開發 熟練掌握MySQL、Oracle等數據庫操作，能編寫常用SQL語句 熟悉軟件開發的主要流程，可以根據指定要求快速完成設計、編碼等工作了解xml、HTML、JavaScript、Ajax技術 項目經驗 一、通用電子商務平臺（當當網購物系統） 開發環境：Linux 開發工具：MyEclipse8.6，Tomcat，MySQL 技術實現：Struts2+Hibernate+Spring+JavaScript+JSP+AJAX 項目描述：此系統為網上購物系統，用戶可以用過該系統實現網上購物、注冊、登錄、瀏覽商 品、訂貨、生成訂單功能。也包括對普通商品增刪改查功能和購物車內書的數量的增刪改功能。 責任描述：獨自完成項目的整個開發過程 用戶模塊包括登錄與注冊，主要使用了AJAX對其輸入的信息進行驗證，結合Hibernate存儲和驗證用戶登錄等。 商品列表模塊主要是用List集合來展示商品。 購物車模塊則是使用Session技術來保存購物車，通過Struts2調用不通方法來操作購物車中的商品集合，實現對購物車的增刪改查。 訂單模塊主要是用Hibernate對用戶所買商品的記錄進行存儲。 經驗總結：這個項目讓我們把我們所學習的三大框架以及JS，Ajax等都聯系起來。尤其是使用 Hibernate經常出現異常，在和組內成員討論中逐步解決問題，并且更加完善代碼。 通過這個項目不僅提高我個人能力，而且還促進了與他人合作的能力。 二、教學管理系統 開發環境：Linux 開發工具：MyEclipse8.6，Tomcat，MySQL 技術實現：Struts2+JavaScript+JDBC+AJAX 項目描述：項目實現了管理員對教師信息的增刪改查和對學生選課的管理 責任描述：獨立完成該項目的設計和實現，主要應用MVC模式的設計思想對項目進行劃分。 采用JDBC對教師信息進行增刪改查，在學生選課模塊，使用到了Ajax來對選課進 行檢驗。 經驗總結： 通過該項目讓我對MVC設計模式有了更深一步的認識。在數據的存儲方面尤其是 對JDBC對數據存儲的亂碼問題。通過與組內成員的不懈努力將其克服。極大的鍛 煉了自己團隊合作能力，項目計劃能力以及寫文檔的能力獨立解決問題的能力。 三、其它項目：BBS論壇，交友網等 實習經歷 2011/12 — 2012/05北京xxx科技Java工程師實習生 教育背景 2010/09―2012/07開封大學軟件技術 所獲證書 C+ E國際軟件工程師Java培訓證書 自我評價 專業技能:雖然在大學里，我學習的是軟件技術專業，已經具備了一些專業方面的基礎知識。但是想在行業中有更好的發展就必須學習更多與企業應用相關的知識，所以我選擇來達內進行培訓。在學習期間，我踏實勤奮，按時完成課后練習及作業，不斷的積累代碼量，同時也能幫同學解決一些力所能及的問題。遇到難題能夠主動動手查閱資料，解決問題。通過項目實戰提高我的個人能力和團隊協作能力。 綜合能力：性格比較沉穩，為人誠懇，不怕吃苦，有高度的責任心和團隊合作精神。對環境的適應能力強，有較強的團隊意識和集體榮譽感，做事情比較認真仔細，對每一件事情都能認真對待，能很好的自我調節。樂于學習新的知識與技術。 1、編寫程序 題目：古典問題：有一對公母豬，從出生后第3個月起每個月都生一對豬，小豬長到第三個月后每個月又生一對豬，假如豬都不死，問每個月的豬總數為多少？ 答案: public class lianxi01 { public static void main(String[] args){ System.out.println(“第1個月的兔子對數: 1”); System.out.println(“第2個月的兔子對數:1”); int f1 = 1, f2 = 1, f, M=24; for(int i=3;i<=M;i++){ f = f2; f2 = f1 + f2; f1 = f; System.out.println(“第” + i +“個月的兔子對數: ”+f2); } } } 2、是非題 2.1 Java程序中的起始類名稱必須與存放該類的文件名相同。（） 答案：正確 2.2 原生類中的數據類型均可任意轉換。（） 答案：錯誤 3、問答題 3.1 try {}里有一個return語句，那么緊跟在這個try后的finally {}里的code會不會被執行，什么時候被執行，在return前還是后? 答案： 會執行，在return前執行。 3.2 sleep()和 wait()有什么區別: 答案： sleep是線程類（Thread）的方法，導致此線程暫停執行指定時間，給執行機會給其他線程，但是監控狀態依然保持，到時后會自動恢復。調用sleep不會 釋放對象鎖。wait是Object類的方法，對此對象調用wait方法導致本線程放棄對象鎖，進入等待此對象的等待鎖定池，只有針對此對象發出notify方法（或notifyAll）后本線程才進入對象鎖定池準備獲得對象鎖進入運行狀態。 4、數據庫題 聚集函數的應用 編寫一條sql語句，希望從藝術家表artist_tab中，看到只有一個專長specialty的是哪些專長 答案：seelctspecialty from artist_tab group by specialty having count(*)=1’; Java包的名字都是由小寫單詞組成。但是由于Java面向對象編程的特性，每一名Java程序員都可以編寫屬于自己的Java包，為了保障每個Java包命名的唯一性，在最新的Java編程規范中，要求程序員在自己定義的包的名稱之前加上唯一的前綴。由于互聯網上的域名稱是不會重復的，所以程序員一般采用自己在互聯網上的域名稱作為自己程序包的唯一前綴。例如： net.frontfree.javagroup 類的名字必須由大寫字母開頭而單詞中的其他字母均為小寫；如果類名稱由多個單詞組成，則每個單詞的首字母均應為大寫例如TestPage；如果類名稱中包含單詞縮寫，則這個所寫詞的每個字母均應大寫，如：XMLExample,還有一點命名技巧就是由于類是設計用來代表對象的，所以在命名類時應盡量選擇名詞。 例如： Circle interface RasterDelegate; interface Storing; 方法的名字的第一個單詞應以小寫字母作為開頭，后面的單詞則用大寫字母開頭。例如： sendMessge 變量(Variables)除了變量名外，所有實例，包括類，類常量，均采用大小寫混合的方式，第一個單詞的首字母小寫，其后單詞的首字母大寫。變量名不應以下劃線或美元符號開頭，盡管這在語法上是允許的。 變量名應簡短且富于描述。變量名的選用應該易于記憶，即，能夠指出其用途。盡量避免單個字符的變量名，除非是一次性的臨時變量。臨時變量通常被取名為i，j，k，m和n，它們一般用于整型；c，d，e，它們一般用于字符型。char c; int i; float myWidth; 實例變量(Instance Variables)大小寫規則和變量名相似，除了前面需要一個下劃線 int _employeeId; String _name; Customer _customer; 常量的名字應該都使用大寫字母，并且指出該常量完整含義。如果一個常量名稱由多個單詞組成，則應該用下劃線來分割這些單詞。 例如： MAX_VALUE 個人介紹 姓 名： 性 別： 戶口所在地： 年 齡： 畢 業 院校： 專 業： 學 歷： 聯 系 電 話： 郵 箱： 求職意向 Java軟件研發 英語水平 四級 專業技能 ? ? 熟練的運用java開發環境和項目構建 熟練掌握java程序設計語言，有牢固的J2SE基礎，能夠熟練使用JDBC、Servlet、JSP技術。熟悉C/S，B/S軟件架構模式 ? ? ? ? 熟練應用JSP/Servlet/JavaBean的MVC模式開發項目 會基本的EJB技術。熟練使用MyEclipse開發環境 熟悉數據庫 SQL Server、Oracle，熟練掌握標準SQL語言 掌握關系數據庫的原理。熟練使用Oracle、SQL Server進行軟件系統開發。熟練使用Tomcat服務器。? ? 具備一般的英語讀寫能力 初步了解Struts、Hibernate、Spring應用 項目經驗 一、基于.NET的聊天系統 描述 ：采用的是傳統的C/S模式，基于.NET的COM+組件和微軟的自帶的消息隊列(MSMQ)，可以很方便的存貯和獲取隊列中的消息，并且采用管道通信，可以不關心其中的通信原理；該系統的功能比較簡單，能夠實現局域網通信 開發技術：ADO.NET + COM+組件 開發工具：MS Visual Studio 數 據 庫：SQL Server 角 色：組長（單人開發） 負責模塊：界面、數據庫建立和管理、后臺的編寫等等 時 間：一周 二、基于Java的聊天系統 描述：本系統采用的任然是基于傳統的C/S模式開發，前臺用的是java.swing包做的界面，后臺的編程采用了一些工廠模式，接口編程，給程序的擴展帶來了很大的方便，數 據庫則是利用的文本文件保存相關的信息，采用傳統的sql從文本文件中獲取自己要的信息，數據庫能實現查詢、添加、刪除等功能。通信則是采用最底層的socket套接字編程；實現的主要功能有：閃屏，截圖，托盤顯示來信消息，多人會話等 開發技術： socket套接字+面向接口編程+工廠模式 開發工具： MyEclipse8.0 數 據 庫：自己寫的文本數據庫 角 色：組長（單人開發） 負責模塊：頁面，數據庫的編寫，以及所有業務邏輯的編寫 時 間：一周 三、連連看小程序 描述： 依然是傳統的C/S模式開發，該程序有很多細節的地方考慮比較周到，例如只在有圖片的地方產生label、圖片遍歷填充算法、圖片連接的算法等，這在一定程度上減少了該程序的內存開銷，同樣采用了工廠模式，可以在不改變源程序代碼的同時，增加新的關卡 開發技術：J2SE 開發工具： NetBeans 角 色：組長（單人開發）時 間：三天 四、庫存管理系統 描述：本系統采用了b/s模式開發，其中用到了jsp、servlet、JavaBean、jstl標簽庫、el表達式等技術，本人負責入庫單和出庫單管理模塊，其中包含的功能大致有根據進貨單產生入庫單，根據訂貨單產生出庫單，以及直接導入入庫單等，采用了mvc框架，和單例模式，工廠模式開發 開發技術：J2EE、servlet、jsp、JavaBean、el表達式、jndi等等 開發工具： Myeclipse 角 色：組員 時 間：一周 自我評價 ◆ 吃苦耐勞，有強烈的敬業精神和團隊協作精神，能夠承受一定的壓力，能迅速的適應各 環境，并融合其中同時對編程具有濃厚的興趣。 ◆ 有積極進取的工作精神和實際動手能力，對新知識、新技術有著強烈的求知欲與良好的接受能力。第二篇：JAVA開發個人簡歷
第三篇：java開發面試題
第四篇：Java命名規范
第五篇：java開發工程師個人簡歷
點擊咨詢 