Servlet Eingaben sicher machen

[perco]

Hallo,

habe eine kurze Frage. Welche Mechanismen gibt es in Java, um Eingaben an ein Servlet gegen ungewollte Zugriffe zu sichern?

In PHP gibt es z.B. die Möglichkeit Strings in SQL-Abfragen zu escapen, um hier Missbrauch vorzubeugen.

Wie sieht das in Java aus? In meiner konkreten Situation sieht es so aus, dass ich ein Servlet habe, über das Daten per URI, Upload oder direkten Input (per Textfeld) eingegeben werden können.

Anschließend wird der Inhalt der verschiedenen Quellen geparst (über JDOM). Meine Frage ist jetzt hierbei, ob man best. Sicherheitsaspekte beachten muss, und ob nicht Benutzer mit klugen Eingaben hier was an der Applikation oder gar am Server verändern/zerstören können.

Vielen Dank und freundliche Grüße!

 

[maki]

Welche Mechanismen gibt es in Java, um Eingaben an ein Servlet gegen ungewollte Zugriffe zu sichern?

Suche mal nach JAAS und sieh dir die Struktur/konfigurationsmöglichkeiten web.xml mal genau an.

In PHP gibt es z.B. die Möglichkeit Strings in SQL-Abfragen zu escapen, um hier Missbrauch vorzubeugen.

Das läuft in Java vollautomatisch wnen man PreparedStatements verwendet.

 

[ARadauer]

SQLInjections werden in java durch PreparedStatements vermieden.

 

[perco]

Habe mir mal einen Überblick über JAAS verschafft. So wie ich das verstanden habe, trifft es auf mein Problem wohl eher nicht zu. Denn bei JAAS scheint es einen festen Benutzerstamm zu geben, die sich authentifizieren müssen und anschließend individuelle Rechte erhalten. Meine Applikation ist allerdings offen für jeden.

Könnt ihr mir ein paar Hinweise geben, welche sicherheitsrelevanten Details man über die web.xml einstellen kann?

Das läuft in Java vollautomatisch wnen man PreparedStatements verwendet.

Das ist schonmal gut zu wissen, danke!

 

[tfa]

PreparedStatements gibt es übrigens sogar in PHP. Die verwendet bloß kaum jemand. Mit dynamischem SQL lässt es sich leichter frickeln ;-)

 

[maki]

Sieh dir JASS nochmals im Zusammenhang mit Webanwendungen an, der "feste Benutzerstamm" ist gar nicht so fest wie du denkst und JASS wird von der web.xml auch verwendet/unterstützt.

Ansonsten fällt mir noch Acegi/Spring Security ein.

Ps: Vergessen zu erwähnen, JASS für Webanwendungen wird meist durch die sog. Container Managed Security bereitgestellt.