2026年Java后端開發(fā)安全防護(hù)專項訓(xùn)練卷

2026年Java后端開發(fā)安全防護(hù)專項訓(xùn)練卷考試時間：______分鐘總分：______分姓名：______一、選擇題（每題只有一個正確選項，請將正確選項字母填入括號內(nèi)）1.以下哪項不屬于OWASPTop10(2021)中列出的常見Web應(yīng)用安全風(fēng)險？A.注入（Injection）B.跨站腳本（XSS）C.跨站請求偽造（CSRF）D.物理訪問控制失效（PhysicalSecurityFailures）2.在Java后端開發(fā)中，防范SQL注入的最佳實踐是？A.對用戶輸入進(jìn)行簡單的長度限制B.使用存儲過程C.始終使用參數(shù)化查詢或預(yù)編譯語句D.依賴WAF完全攔截所有SQL注入攻擊3.以下哪種密碼存儲方式最推薦用于存儲用戶密碼？A.明文存儲B.使用Base64編碼存儲C.使用MD5哈希存儲D.使用加鹽（Salt）的強(qiáng)哈希算法（如BCrypt）存儲4.在SpringSecurity配置中，`@EnableWebSecurity`注解的作用是？A.禁用Web安全功能B.啟用SpringMVC的注解驅(qū)動開發(fā)C.啟用SpringSecurity的Web安全配置支持D.強(qiáng)制使用HTTP協(xié)議5.以下哪個JavaAPI的使用場景最容易引發(fā)命令注入風(fēng)險？A.`String`類的`concat`方法B.`List`接口的`add`方法C.`Runtime.getRuntime().exec()`方法D.`Math.random()`方法6.為了防止Session固定攻擊，安全的做法是？A.允許用戶選擇自己SessionIDB.在用戶首次訪問時強(qiáng)制生成新的SessionIDC.將SessionID存儲在客戶端Cookie中但不設(shè)置HttpOnly標(biāo)志D.使用非常短的SessionID7.以下哪種HTTP方法通常用于提交表單數(shù)據(jù)，并且其請求內(nèi)容在瀏覽器歷史記錄中可見？A.GETB.POSTC.PUTD.DELETE8.在進(jìn)行敏感操作（如修改密碼、支付）時，為了防止CSRF攻擊，常采用的技術(shù)是？A.使用HTTPS協(xié)議B.對所有請求進(jìn)行IP地址限制C.使用帶有Token的驗證機(jī)制D.限制Cookie的SameSite屬性9.Java中的`ClassLoader`若被不當(dāng)利用，可能引發(fā)的安全漏洞是？A.內(nèi)存泄漏B.內(nèi)存溢出C.JNDI注入D.線程死鎖10.以下哪項關(guān)于HTTPS協(xié)議的說法是正確的？A.HTTPS不能提供數(shù)據(jù)加密B.HTTPS默認(rèn)端口是80C.HTTPS通過TLS/SSL協(xié)議提供數(shù)據(jù)加密和身份驗證D.HTTPS會增加服務(wù)器計算負(fù)擔(dān)，降低性能11.在微服務(wù)架構(gòu)中，服務(wù)間進(jìn)行認(rèn)證和授權(quán)通常會使用？A.共享數(shù)據(jù)庫中的用戶表B.單點登錄（SSO）系統(tǒng)C.API網(wǎng)關(guān)和訪問令牌（Token）D.郵件服務(wù)器驗證12.以下哪個安全頭可以指示瀏覽器僅通過指定的證書鏈驗證HTTPS連接？A.`Strict-Transport-Security`B.`Content-Security-Policy`C.`X-Frame-Options`D.`Expect-CT`13.在Java應(yīng)用中，防止XXE（XMLExternalEntity）攻擊需要？A.對所有用戶輸入進(jìn)行XSS過濾B.禁用XML外部實體解析C.使用更復(fù)雜的XML解析庫D.增加XML文件訪問權(quán)限控制14.對于Java后端開發(fā)人員而言，編寫安全代碼的首要原則是？A.代碼越復(fù)雜越安全B.永不信任任何用戶輸入C.盡量減少代碼量D.只要不涉及數(shù)據(jù)庫操作就不會有安全問題15.在容器化部署Java應(yīng)用時，容器安全的基本要求包括？A.使用最小化基礎(chǔ)鏡像B.禁用容器默認(rèn)提供的所有端口C.在容器內(nèi)部署數(shù)據(jù)庫D.不需要考慮容器本身的權(quán)限隔離二、多選題（每題有多個正確選項，請將所有正確選項字母填入括號內(nèi)，多選或少選均不得分）1.以下哪些屬于常見的注入類漏洞？（）A.SQL注入B.命令注入C.跨站腳本（XSS）D.堆棧溢出E.惡意軟件下載2.防范跨站請求偽造（CSRF）攻擊，可以采取的措施包括？（）A.使用CSRFTokenB.設(shè)置Cookie的HttpOnly標(biāo)志C.設(shè)置Cookie的SameSite屬性D.對敏感請求強(qiáng)制使用POST方法E.禁用瀏覽器緩存3.在使用SpringSecurity時，為了提高安全性，應(yīng)該配置哪些措施？（）A.啟用強(qiáng)大的密碼策略（如復(fù)雜度要求）B.配置安全的Session管理（如HttpOnly,Secure標(biāo)志）C.使用合適的認(rèn)證方式（如多因素認(rèn)證）D.對不同用戶角色授予最小必要權(quán)限（PrincipleofLeastPrivilege）E.禁用SpringSecurity功能以簡化開發(fā)4.以下哪些操作可能導(dǎo)致權(quán)限提升或越權(quán)訪問？（）A.未正確驗證用戶角色進(jìn)行資源訪問B.存儲了過期的SessionTokenC.代碼中存在邏輯漏洞，允許用戶繞過權(quán)限檢查D.使用了弱密碼且被猜到E.第三方組件存在安全漏洞被利用5.在Java后端開發(fā)中，需要關(guān)注的安全配置項可能包括？（）A.數(shù)據(jù)庫連接密碼是否加密存儲B.日志中是否記錄過多敏感信息C.服務(wù)器默認(rèn)賬戶（如root,admin）是否被弱口令保護(hù)D.使用的第三方庫和框架是否為最新安全版本E.應(yīng)用程序是否正確設(shè)置了HTTP安全頭6.微服務(wù)架構(gòu)帶來的新的安全挑戰(zhàn)包括？（）A.服務(wù)間信任與認(rèn)證復(fù)雜化B.分布式環(huán)境下的攻擊面擴(kuò)大C.API安全成為重點D.配置管理難度增加E.數(shù)據(jù)一致性保障7.以下哪些行為可能泄露敏感信息？（）A.在日志中打印用戶的完整密碼B.使用HTTP協(xié)議傳輸敏感數(shù)據(jù)C.Web應(yīng)用防火墻（WAF）配置不當(dāng)導(dǎo)致誤攔截正常業(yè)務(wù)D.移動設(shè)備丟失，存儲在本地數(shù)據(jù)庫的敏感數(shù)據(jù)被訪問E.代碼注釋中寫明了密鑰信息8.為了提高應(yīng)用的安全性，開發(fā)者應(yīng)該遵循的安全編碼規(guī)范包括？（）A.對所有外部輸入進(jìn)行嚴(yán)格驗證和清洗B.避免使用不安全的函數(shù)（如`eval`）C.對敏感數(shù)據(jù)進(jìn)行加密存儲和傳輸D.定期進(jìn)行代碼安全審計E.忽略安全警告，優(yōu)先保證開發(fā)速度三、簡答題1.簡述SQL注入攻擊的基本原理，并列舉至少三種防范SQL注入的有效措施。2.解釋什么是跨站腳本（XSS）攻擊，說明其主要危害，并簡述服務(wù)器端和客戶端如何防范XSS。3.在使用SpringSecurity進(jìn)行認(rèn)證授權(quán)配置時，如何實現(xiàn)基于角色的訪問控制（RBAC）？請描述核心的配置思路。4.什么是敏感信息泄露？列舉至少五種Java后端應(yīng)用中常見的敏感信息泄露場景。5.簡述“最小權(quán)限原則”在Java后端開發(fā)中的應(yīng)用，并舉例說明。四、代碼審計題```javaimportjava.sql.*;publicclassLoginServletextendsHttpServlet{publicvoiddoPost(HttpServletRequestrequest,HttpServletResponseresponse)throwsServletException,IOException{Stringusername=request.getParameter("username");Stringpassword=request.getParameter("password");if(username==null||password==null||username.isEmpty()||password.isEmpty()){//簡單的空值檢查response.getWriter().println("用戶名或密碼不能為空");return;}Connectionconn=null;PreparedStatementpstmt=null;ResultSetrs=null;try{//連接數(shù)據(jù)庫（省略連接池配置）conn=DriverManager.getConnection("jdbc:mysql://localhost:3306/mydb?user=root&password=root123");//查詢用戶信息，使用String拼接SQL，存在安全隱患Stringsql="SELECT*FROMusersWHEREusername='"+username+"'ANDpassword='"+password+"'";pstmt=conn.prepareStatement(sql);rs=pstmt.executeQuery();if(rs.next()){//登錄成功邏輯response.getWriter().println("登錄成功");}else{//登錄失敗邏輯response.getWriter().println("用戶名或密碼錯誤");}}catch(SQLExceptione){e.printStackTrace();response.getWriter().println("系統(tǒng)錯誤");}finally{try{if(rs!=null)rs.close();if(pstmt!=null)pstmt.close();if(conn!=null)conn.close();}catch(SQLExceptione){e.printStackTrace();}}}}```五、案例分析題假設(shè)你正在為一個電商平臺開發(fā)后端API。該平臺存在一個用戶評價功能，用戶可以對購買的商品提交文字評價和評分（1-5分）。近期發(fā)現(xiàn)有些惡意用戶通過頻繁提交包含特殊構(gòu)造HTML和JavaScript代碼的評價來影響其他用戶的瀏覽體驗，甚至嘗試進(jìn)行釣魚攻擊。請分析這個問題的可能原因，并提出至少三種技術(shù)或管理上的解決方案來防范此類行為。試卷答案一、選擇題1.D解析：OWASPTop10關(guān)注的是Web應(yīng)用安全風(fēng)險，物理訪問控制失效屬于操作系統(tǒng)或設(shè)施層的安全問題。2.C解析：參數(shù)化查詢能有效將用戶輸入作為參數(shù)處理，防止惡意SQL代碼注入數(shù)據(jù)庫。3.D解析：加鹽哈希能極大增加破解難度，BCrypt是專門為密碼存儲設(shè)計的強(qiáng)哈希算法。4.C解析：`@EnableWebSecurity`是SpringSecurity提供的注解，用于啟用Web安全配置。5.C解析：`Runtime.getRuntime().exec()`方法直接執(zhí)行系統(tǒng)命令，若命令構(gòu)造不當(dāng)，極易引發(fā)命令注入。6.B解析：強(qiáng)制在首次訪問時生成新SessionID可以避免用戶使用固定的、可能被攻擊者捕獲的SessionID。7.B解析：POST方法用于提交數(shù)據(jù)，且請求內(nèi)容不在瀏覽器歷史記錄中，適用于敏感數(shù)據(jù)提交。8.C解析：CSRF攻擊利用用戶已認(rèn)證狀態(tài)發(fā)起請求，使用Token驗證可以確保請求是由用戶本人意圖發(fā)起。9.C解析：不安全的`ClassLoader`配置可能被用于加載惡意類，實現(xiàn)JNDI注入等攻擊。10.C解析：HTTPS通過TLS/SSL提供數(shù)據(jù)加密、完整性校驗和身份驗證。11.C解析：微服務(wù)間通常通過API網(wǎng)關(guān)進(jìn)行統(tǒng)一管理和認(rèn)證，使用Token傳遞權(quán)限信息。12.D解析：`Expect-CT`(CertificateTransparency)指示瀏覽器驗證HTTPS證書鏈?zhǔn)欠裨贑T日志中記錄。13.B解析：禁用XML外部實體解析是防范XXE攻擊最直接有效的方法。14.B解析：不信任用戶輸入是安全開發(fā)的基石，所有輸入都應(yīng)進(jìn)行驗證或清洗。15.A解析：使用最小化基礎(chǔ)鏡像可以減少攻擊面，是容器安全的基本要求。二、多選題1.A,B解析：注入類漏洞主要指利用輸入驗證缺陷，在目標(biāo)系統(tǒng)執(zhí)行惡意命令或查詢。XSS屬于跨站腳本，堆棧溢出是代碼級漏洞，惡意軟件下載是結(jié)果。2.A,C,D解析：CSRF利用用戶身份，Token驗證、SameSiteCookie、POST方法限制能有效防范。HttpOnly防止客戶端腳本訪問Cookie，有一定輔助作用，但不是核心。3.A,B,C,D解析：這些都是SpringSecurity中提高安全性的重要配置方向。禁用安全功能會降低安全性。4.A,C解析：權(quán)限提升指獲得超出自身權(quán)限的操作能力，越權(quán)訪問指訪問未授權(quán)資源。未正確驗證角色和代碼邏輯漏洞直接導(dǎo)致這兩類問題。弱密碼和利用第三方漏洞是攻擊方式，不直接等同于權(quán)限提升或越權(quán)。5.A,B,C,D,E解析：這些都屬于需要關(guān)注的安全配置，涵蓋了數(shù)據(jù)安全、日志安全、系統(tǒng)安全、依賴庫安全和通信安全。6.A,B,C,D,E解析：微服務(wù)架構(gòu)帶來了服務(wù)間信任、分布式攻擊面、API安全、配置管理等多方面的安全挑戰(zhàn)。7.A,B,D,E解析：這些都是典型的敏感信息泄露場景。WAF誤攔截影響業(yè)務(wù)，但不屬于信息泄露。8.A,B,C,D解析：這些都是安全編碼的基本規(guī)范。忽略安全警告會帶來風(fēng)險，不是好的實踐。三、簡答題1.原理：攻擊者通過在輸入中注入惡意SQL代碼片段，使其成為合法SQL語句的一部分，從而欺騙數(shù)據(jù)庫執(zhí)行非預(yù)期的操作，如查詢、修改、刪除數(shù)據(jù)甚至破壞數(shù)據(jù)庫。防范措施：a.使用參數(shù)化查詢（PreparedStatements），將SQL代碼與數(shù)據(jù)分離。b.對所有用戶輸入進(jìn)行嚴(yán)格的驗證和過濾，限制輸入長度和類型。c.使用ORM框架，通常內(nèi)置了較好的防注入機(jī)制。d.最小權(quán)限原則，數(shù)據(jù)庫用戶只授予必要的權(quán)限。2.XSS攻擊：攻擊者將惡意腳本注入到網(wǎng)頁中，當(dāng)其他用戶瀏覽該網(wǎng)頁時，腳本會在用戶的瀏覽器中執(zhí)行。危害：可能竊取用戶Cookie、會話信息，進(jìn)行釣魚攻擊，篡改頁面內(nèi)容，或控制用戶瀏覽器。防范：a.服務(wù)器端：對所有用戶輸入進(jìn)行適當(dāng)?shù)木幋a或轉(zhuǎn)義（如HTML實體編碼），避免直接輸出未驗證的輸入。使用安全的API。b.客戶端：使用CSP（內(nèi)容安全策略）限制資源加載和腳本執(zhí)行。對來自不可信來源的數(shù)據(jù)進(jìn)行過濾。3.RBAC配置思路：a.定義角色（Roles）：創(chuàng)建如`ADMIN`,`USER`,`MODERATOR`等角色。b.定義權(quán)限（Permissions）：定義操作，如`READ_PRODUCT`,`WRITE_PRODUCT`,`DELETE_USER`等。c.角色權(quán)限關(guān)聯(lián)：將權(quán)限分配給角色（如`ADMIN`擁有所有權(quán)限，`USER`只有讀取權(quán)限）。d.用戶角色關(guān)聯(lián)：將用戶分配給一個或多個角色。e.訪問控制檢查：在方法或Controller層面，檢查用戶是否具有執(zhí)行操作所需的角色或直接權(quán)限。4.敏感信息泄露：指應(yīng)用無意中暴露了不應(yīng)公開的信息，這些信息可能被惡意利用。常見場景：a.日志記錄：在錯誤日志或訪問日志中記錄了用戶的密碼、身份證號、手機(jī)號等。b.響應(yīng)數(shù)據(jù)：API響應(yīng)或頁面中包含了用戶的密碼（即使是加密的）、密鑰、個人敏感信息等。c.代碼注釋或配置文件：在源代碼或配置文件中硬編碼了密鑰、密碼等。d.緩存：緩存了包含敏感信息的頁面或數(shù)據(jù)。e.第三方服務(wù)錯誤配置：如錯誤地將敏感信息暴露給搜索引擎。5.最小權(quán)限原則：指在分配權(quán)限時，只授予完成特定任務(wù)所必需的最小權(quán)限集，不多不少。應(yīng)用：a.賬戶權(quán)限：數(shù)據(jù)庫賬戶只對必要的表有讀寫權(quán)限，Web服務(wù)器用戶只有運(yùn)行應(yīng)用所需的權(quán)限。b.應(yīng)用功能權(quán)限：用戶登錄后，只顯示其有權(quán)限操作的菜單和數(shù)據(jù)。c.代碼權(quán)限：避免使用管理員權(quán)限的賬戶運(yùn)行日常任務(wù)。舉例：一個普通用戶登錄系統(tǒng)，只能查看自己的訂單信息，不能查看其他用戶訂單，也不能刪除訂單，這些權(quán)限都是其完成“用戶”角色任務(wù)所必需的最小權(quán)限。四、代碼審計題風(fēng)險及修復(fù)建議：1.風(fēng)險：使用字符串拼接構(gòu)建SQL語句，極易導(dǎo)致SQL注入攻擊。修復(fù)：改用`PreparedStatement`，將SQL語句與參數(shù)分開，通過參數(shù)占位符傳遞用戶輸入。修復(fù)示例：```javaStringsql="SELECT*FROMusersWHEREusername=?ANDpassword=?";pstmt=conn.prepareStatement(sql);pstmt.setString(1,username);pstmt.setString(2,password);```2.風(fēng)險：密碼以明文形式在連接字符串中存儲（`user=root&password=root123`），且在登錄失敗時可能直接輸出密碼錯誤信息。修復(fù)：密碼應(yīng)使用加密存儲（如使用