一、Spring boot与安全1、安全 应用程序的两个主要区域是“认证”和“授权”（或者访问控制），这两个主要区域是安全的两个目标。 身份验证意味着确认您自己的身份，而授权意味着授予对系统的访问权限认证身份验证是关于验证您的凭据，如用户名/用户ID和密码，以验证您的身份。系统确定您是否就是您所说的使用凭据。在公共和专用网络中，系统通过登录密码验证用户身份。身份验证通常通过用户名和密码完成，授权另
转载
2024-03-12 17:45:24
20阅读
因为 Basic Auth 的身份信息是写在请求中，被截获账号密码可能会泄露，为此增加一重ip认证 在实际应用中，可能会用spring boot 写一些微服务去做底层的一些预处理，然后再开放一些接口传输数据。为了安全，同城要做一些访问的认证，也不用选太复杂的认证方式，就用 Basic Auth就可以，再在此基础上再做一些认证，比如这里的ip。为此，需要两个方面的思考
转载
2024-03-24 16:19:19
158阅读
Author :看到 Halo 0.4.3 Issue 上还挺多的，而且作者打算写新的版本，目前的版本大部分都还没修。这个还是有点多的，不过大部分都是后台。这个是一个 Java SpringBoot 写的 Web 应用，相关部署和源码分析可以见我的其它文章。如果要别人的网站，可以先使用评论处存储型XSS，获取到管理员 session
转载
2024-08-29 13:12:20
187阅读
一、SpringBoot
ActuatorSpringBoot Actuator是SpringBoot项目中的一个监控机制，用于提供了一系列对SpringBoot项目的状态监控，有助于监控项目上线后的运行状态、组件状态等。这些监控项称之为端点（endpoint），可以通过API接口进行访问，但是配置不当可能出现敏感信息泄露，导致一系列严重的后果。二、环境搭建1、SpringBoot：2.3.2.R
原创
精选
2024-07-21 14:12:16
1836阅读
依赖<dependency>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter-web-services</artifactId>
</dependency>
转载
2023-06-05 15:20:10
214阅读
1.springboot简介 Spring Boot 是由 Pivotal 团队提供的全新框架，其设计目的是用来简化新 Spring 应用的初始搭建以及开发过程。该框架使用了特定的方式来进行配置，从而使开发人员不再需要定义样板化的配置。用我的话来理解，就是 Spring Boot 其实不是什么新的框架，它默认配置了很多框架
转载
2023-12-27 06:49:34
12阅读
一、接口开关功能 1、可配置化，依赖配置中心 2、接口访问权限可控 3、springmvc不会扫描到，即不会直接的将接口暴露出去二、接口开关使用场景 和业务没什么关系，主要方便查询系统中的一些状态信息。比如系统的配置信息，中间件的状态信息。这就需要写一些特定的接口，不能对外直接暴露出去（即不能被springmvc扫描到，不能被swagger扫描到）。三、SimpleUrlHandlerMa
转载
2024-06-27 20:37:40
594阅读
1.关于CPU负载。extop显示的结果如果CPU load average>=1，说明主机过载了。如果PCPU used%在80%左右说明良好，90%以上就临近过载了。VM赋予过多的vCPU可能消耗更多资源，尤其是在负载很重的主机上。例如，单线程负载运行在多个vCPU的VM上或者多线程负载运行在一个超过其需要的vCPU数量的VM上。Most guest operating systems
随着互联网技术的快速发展, API（应用程序编程接口）已经成为软件生态系统中的重要组成部分。API 文档提供了关于软件组件如何交互、通信以及使用的详细信息，这对于开发人员来说是非常重要的资源。然而，在某些情况下，API 文档可能会意外地暴露一些敏感的信息，给企业带来安全风险和损失。本文将探讨 API 文档泄漏的几种情况以及如何防护这些安全隐患。当 API 文档包含了服务器的内部 IP 地址时，攻击
0x01:前言以下漏洞均已经上报edusrc平台，并且已经修复。请勿利用文章内的相关技术从事非法测试。若因此产生一切后果与本公众号无关。0x02:狂欢开始1.故事的开始相信不少网安人员都有点“母校情怀”，对母校都有一种偏执的念头。本文的故事就是从一次饭后浏览母校网页开始的。wc，当我看见这个令人激动的叶子，我就知道。回馈母校的时候到了。先简单的fuzz一下路径，得到了一些user，system，s
springboot如何暴露接口 1.在对应的service层编写提供别人使用的方法2.再指定的地方 提供对应的接口给别人使用（映射的url是在web层对应的url）@FeignClient(value = "ms-erp-mall-admin", configuration = {FeignApplyConfiguration.class})
value：指定FeignClient的名称，如果项
转载
2023-03-15 17:49:24
185阅读
关于Spring Boot Actuator漏洞补救方案Spring Boot Actuator漏洞自查处理漏洞 Spring Boot ActuatorSpring Boot Actuator 提供了项目的健康检查，审计，指标收集，HTTP 跟踪等，是帮助项目监控和管理Spring Boot 应用的模块。
这个模块采集应用的内部信息，展现给外部模块，可以查看应用配置的详细信息，例如自动化配置信
转载
2024-02-22 23:47:55
90阅读
spring中的提供了一个名为org.springframework.web.util.IntrospectorCleanupListener的监听器。这个监听器的用法是，在web.xml中添加： <listener>
<listener-class>org.springframework.web.util.Introspecto
转载
2024-04-27 17:33:04
121阅读
为什么要使用springSecurity 在web开发中，安全占据第一位置我们可以通过一些简单的安全策略，例如过滤器，拦截器保证安全安全是一个非功能性需求，做网站，后台应该在设计之初进行考虑，在我们设计之前就应该把这些东西考虑进去，虽然我们可以通过拦截器，过滤器来完成需求，但是会有大量的原生代码，冗余而通过SpringSecurity，我们只需要进行简单的调用，便可实现无数复杂的功能项目中所涉及的
springboot版本：2.1.4.RELEASE 默认自带redis版本：2.9.1 服务在注册中心还是up状态 jstack有大量waiting线程 - parking to wait for，等待锁定同一个地址的线程和线程池最大配置一样 ://www..com/unc
原创
2022-02-17 11:48:21
327阅读
## 如何实现“springboot redis setnx 泄露”
### 流程
首先，我们来看一下整个流程的步骤：
| 步骤 | 操作 |
|------|------|
| 1 | 连接Redis |
| 2 | 使用`setnx`命令进行加锁 |
| 3 | 执行业务逻辑 |
| 4 | 释放锁 |
### 代码实现
#### 连接Redis
首先，我们需要连接Redis，这可
原创
2024-03-14 04:32:59
106阅读
在过去两三年的Spring生态圈，最让人兴奋的莫过于Spring Boot框架。或许从命名上就能看出这个框架的设计初衷：快速的启动Spring应用。因而Spring Boot应用本质上就是一个基于Spring框架的应用，它是Spring对“约定优先于配置”理念的最佳实践产物，它能够帮助开发者更快速高效地构建基于Spring生态圈的应用。那Spring Boot有何魔法？自动配置、起步
RESTful相信在座的各位对于RESTful都是略有耳闻，那么RESTful到底是什么呢？REST(Representational State Transfer)表述性状态转移是一组架构约束条件和原则。满足这些约束条件和原则的应用程序或设计就是RESTful。需要注意的是，REST是设计风格而不是标准。REST通常基于使用HTTP，URI，和XML(标准通用标记语言下的一个子集)以及HTML(
前言 这两天在整改等保测出的问题，里面有一个“用户信息泄露”的风险项（就是后台系统里用户的一些隐私数据直接明文显示了），其实指的就是要做数据脱敏。数据脱敏：把系统里的一些敏感数据进行加密处理后再返回，达到保护隐私作用，实现效果图如下： 其实要实现上面的效果，可能最先想到的方法是直接改每个controller接口，在返回数据前做一次加密处理，当然这个方法肯定是非常捞的。这里推荐用注解来实现，即高效又
转载
2023-12-31 13:30:50
109阅读
前言Spring Security 是针对 Spring 项目的安全框架，也是 Spring Boot 底层安全模块默认的技术选型。他可以实现强大的 web 安全控制。对于安全控制，我们仅需引入 spring-boot-starter-security 模块，进行少量的配置，即可实现强大的安全管理。记住几个类：WebSecurityConfigurerAdapter：自定义 Security 策略
转载
2024-03-26 07:15:18
34阅读
