Java Persistence API (JPA)에서주의해야 할 보안 문제는 무엇입니까

Question

JPA를 배우기 시작했습니다. 사용하기 위해 리팩토링해야하는 상당량의 기존 EJB2.0 코드가 있습니다. 새로운 기능 및 코드 기반에 추가 할 새로운 기능을 제공합니다. 내 코드에서 설명해야 할 새로운 공격 경로가 있습니까? 아니면 방어 프로그래밍이 나를 커버합니까?

Answer 1

JPA는 JDBC와 같습니다. 백엔드 기술입니다. JDBC에 적용되는 것과 동일한 보안 문제가 JPA에 적용됩니다. 따라서 대부분의 보안 고려 사항은 응용 프로그램 수준에서 구현되거나 프런트 엔드 API에서 처리됩니다. 그러나 실제로 JPQL 주입은 당신이 알고 있어야하는 명백한 것입니다.

JPQL 주입 : SQL 또는 JDBC API를 사용하는 경우

그냥 좋아, 당신은 직접 쿼리 문자열에 매개 변수를 추가해서는 안됩니다. Query 개체의 setParameter (adhoc 쿼리와 명명 된 쿼리 모두에 적용) 또는 JPA criteria API (명명 된 쿼리가 최상의 성능을 제공하지만)을 사용할 수 있습니다.

Query query = em.createQuery("DELETE Order WHERE customer = :customer"); 
query.setParameter("customer", customer); 
query.executeUpdate(); 

데이터베이스 권한 :

추가 보안을 위해, 당신이 만들 수있는 여러 지속적 유닛 (PU) 그래서 모든 보안 위반의 영향이 제한됩니다. 예를 들어 데이터베이스 액세스 권한이 다른 여러 PU를 만들 수 있습니다. 하나는 업데이트 권한이 있고 다른 하나는 읽기 전용 쿼리 액세스 권한입니다. 이와 같은 결정이 응용 프로그램 설계에 영향을 미친다는 것을 알기 만하면됩니다.

Answer 2

신뢰할 수없는 출처에서받은 바이트에서 객체를 비 직렬화하는 경우 부트 클래스 경로에있는 모든 클래스가 public인지 여부에 관계없이로드되어 해당 클래스 초기화가 실행될 수 있습니다. 부작용이있는 생성자와 사용자 정의 직렬화 방법을 통해 권한을 얻을 수도 있습니다. 클래스 패스가 아니라 기관이 직렬화 가능 클래스의 생성자를 통해 연결할 수있는 가장 최근의 JVM과 함께 제공되는 코뿔소 인터프리터, 또는 javac의, 및에 javax.tools 인터페이스처럼 무제한의 권한과 함께 public 클래스 알려진이 포함 된 경우

, 공격자는이를 사용하여 임의의 Java 코드를 실행할 수 있습니다. 실제로 이것은 java.lang.Runtime을 통해 현재 사용자의 권한을 가진 임의의 사용자 - 링 코드를 의미합니다.

첫 번째 기준은 쉽게 충족됩니다. 두 번째 것은 아마도 쉽게 만날 수 없을 것입니다.