Безопасность Java: десять проверок перед релизом
1. Проверяйте входные данные и отдельно права на действие. Валидация не заменяет авторизацию.
2. Передавайте SQL-значения параметрами PreparedStatement. Имена таблиц и колонок выбирайте из разрешённого набора.
3. Не отдавайте клиенту stack trace и внутреннюю конфигурацию.
4. Храните секреты вне репозитория, определите способ их ротации.
5. Проверяйте доступ к конкретному объекту, а не только роль пользователя.
6. Ограничивайте десериализуемые типы. JSON сам по себе не гарантирует безопасность.
7. Следите за уязвимостями и обновлениями зависимостей.
8. Не записывайте пароли и токены в логи.
9. Настройте Secure, HttpOnly и подходящий SameSite для сессионных cookie.
10. Проверьте защитные заголовки и CSP под конкретный интерфейс.
Настройки нужно проверять вместе с поведением приложения, а не только наличием аннотаций.
#Java
Java Библиотека | Мы в Телеграм
