JavaEE中遗漏的10个最重要的安全控制JavaEE有一些超赞的内置安全机制，但它们远远不能覆盖应用程序要面临的所有威胁。很多常见攻击，例如跨站点脚本攻击（XSS）、SQL注入、 跨站点伪造请求（CSRF），以及XML外部实体（XXE）丝毫没有涵盖。你可以阻止web应用程序和web服务暴露于这些攻击，但这需要一定量的工作和 测试。幸运的是，Open Web Application Security Project（OWASP）公布了“10大最关键的web应用程序安全风险”的报告。
让我们来看看这些关键的风险如何应用于JavaEE的web应用程序和web服务：
1.注入
注入发生在开发人员获取不可信的信息，例如request.getParameter（），request.getCookie（），或 request.getHeader（），并在命令接口中使用它的任何时候。例如，SQL注入在你连接不可信的数据到常规SQL查询，如“SELECT * FROM users WHERE username=‘“ + request.getParameter(“user”) + “‘ AND password=‘“ + r