避免在 spring-boot 中向客户端暴露后端详细信息-Java-PHP中文网

避免在 spring-boot 中向客户端暴露后端详细信息

王林

发布： 2024-02-22 12:28:06

转载

641 人浏览过

近日，php小编西瓜为您带来了一篇关于Java方面的问答文章，重点讨论了如何在spring-boot中避免向客户端暴露后端详细信息的问题。在开发过程中，如何处理异常信息、错误提示等敏感信息，避免泄露敏感数据，是开发者需要重点关注的问题之一。本文将为您解答这些疑惑，帮助您更好地保护应用程序的安全性。

问题内容

当遇到错误/不存在的 spring-boot 端点时。代码级别的类详细信息被公开。这可能会被标记为安全问题。

示例

请求

localhost:8500/api/1.0/service/../msc -> this is a bad formatted endpoint, which does not exist.

登录后复制

回应

{
    "timestamp": "2024-01-31t08:33:44.321+0000",
    "status": 400,
    "error": "bad request",
    "message": "failed to find lookuppath '/api/1.0/msc' within requesturi '/api/1.0/service/../msc'. this could be because the path has invalid encoded characters or isn't normalized.; nested exception is org.springframework.web.servlet.resource.resourceurlencodingfilter$lookuppathindexexception: failed to find lookuppath '/api/1.0/msc' within requesturi '/api/1.0/service/../msc'. this could be because the path has invalid encoded characters or isn't normalized.",
    "path": "/api/1.0/service/../msc"
}

登录后复制

只需查看错误消息，我们就可以了解到有一个 spring-boot 应用程序在后台运行，由于消息中公开了代码级别的详细信息，因此它可能是一个漏洞。

我们如何向客户端发送通用消息而不是整个异常详细信息？

我也尝试过使用@controlleradvice，但其中没有捕获异常。看起来这个问题甚至在到达控制器本身之前就已经出现了。

@ExceptionHandler(Exception.class)
public ResponseEntity handleException(Exception ex) {
log.error("Exception in flow", ex);
ResponseEntity.status(HttpStatus.INTERNAL_SERVER_ERROR).body("Internal Server Error");
}

登录后复制