java-auth-config-audit

name	java-auth-config-audit
description	Java 源码认证与配置安全审计。当在 Java 白盒审计中需要检测认证绕过、权限缺陷或安全配置问题时触发。 覆盖 6 类风险: 认证绕过(Spring Security/Shiro Filter 链 URI 解析差异)、 越权(IDOR/水平越权/垂直越权)、JWT 安全(算法混淆/密钥泄露/Claims 验证)、 加密配置(弱算法/硬编码密钥/不安全随机数)、信息泄露(错误堆栈/Actuator/Debug 模式)、 业务逻辑漏洞(竞争条件/金额篡改/流程绕过)。
metadata	{"tags":"authentication bypass, authorization, idor, jwt, shiro, spring security, 认证绕过, 越权, 加密配置, 信息泄露, actuator, 业务逻辑, java source audit","category":"code-audit"}

Java 认证与配置安全源码审计

Java 后端项目中认证、授权与安全配置是最高频的漏洞产出面。本 skill 提供 6 大类白盒审计的完整检测思路，适用于 Spring Boot/Spring Security、Apache Shiro 及自定义框架。

相关 Skill

• java-framework-audit — Spring/Struts/MyBatis 框架审计
• java-injection-audit — SQL/OGNL/EL 注入审计
• java-serialization-audit — 反序列化漏洞审计
• idor-methodology — 黑盒 IDOR 测试方法论

深入参考

• 6 类漏洞详细模式（危险代码/安全代码/EVID 证据）-> references/auth-config-patterns.md

---

6 类风险速查表

#	类别	关键搜索入口	危害等级
1	认证绕过	SecurityConfig, ShiroFilterFactory, doFilter	严重
2	越权	DAO/Mapper 查询语句, @PreAuthorize, Controller 参数	高
3	JWT 安全	Jwts.parser(), Algorithm.HMAC, SECRET_KEY	高
4	加密配置	MessageDigest, Cipher.getInstance, new Random()	高
5	信息泄露	application.yml Actuator 配置, @ExceptionHandler	中
6	业务逻辑	余额/库存操作, 状态机流转, 支付回调	高

---

1. 认证绕过审计要点

• Spring Security: 检查 FilterChainProxy 匹配规则，AntPathRequestMatcher 与 MvcRequestMatcher 差异（尾部斜杠/路径后缀）；requestMatchers 顺序——宽松规则 permitAll() 在前会覆盖后续拦截；permitAll() 是否过度开放（如 /api/**）
• Shiro: URI 解析差异导致绕过——/admin/ vs /admin vs /admin/..;/；CVE-2020-1957 / CVE-2020-11989 / CVE-2020-13933 等 path normalization 系列绕过
• 自定义 Filter: doFilter() 中 early return 导致后续 chain 未执行；白名单正则不严谨（如 startsWith("/public") 可被 /publicevil 匹配）

2. 越权审计要点

• 水平越权: 接口仅校验登录态未校验资源归属——DAO 层 WHERE id = #{orderId} 缺少 AND user_id = #{currentUserId} 条件
• 垂直越权: Controller/Service 方法缺少角色注解 @PreAuthorize/@RequiresRoles；枚举值（角色 ID）可猜解
• IDOR: 自增 ID 可遍历；UUID 是否真正不可预测；批量接口跳过单条权限检查

3. JWT 安全审计要点

• 算法混淆: alg: none 绕过签名验证；RS256 -> HS256 攻击（用公钥作为 HMAC 密钥）
• 密钥硬编码: 源码中 SECRET_KEY = "xxx" 或 application.yml 明文配置
• Claims 校验缺失: exp(过期)/iss(签发者)/aud(受众) 未验证导致 token 可跨环境复用
• 刷新机制: refresh_token 长期有效且未绑定用户/设备，被盗后可无限刷新

4. 加密配置审计要点

• 弱算法: MD5/SHA1 做密码哈希、DES/RC4 加密、ECB 模式（泄露数据模式）
• 正确做法: 密码用 bcrypt/scrypt/argon2；对称加密用 AES-GCM/AES-CBC+HMAC
• 硬编码密钥/盐值: private static final String KEY = "..." 或盐值写死在代码中
• 不安全随机: java.util.Random 可预测，安全场景必须用 SecureRandom

5. 信息泄露审计要点

• Actuator 端点暴露: /env(环境变量/密码)、/heapdump(堆内存含密钥)、/jolokia(远程代码执行)
• 详细错误堆栈: 全局异常处理器缺失，SQL 报错/类名/路径直接返回客户端
• Debug 模式: server.error.include-stacktrace=always、spring.devtools 未移除
• 敏感数据日志: log.info("用户密码: {}", password) 或完整信用卡号写入日志文件

6. 业务逻辑审计要点

• 并发竞争: 余额检查与扣款非原子操作（double-spending）；优惠券/积分重放
• 参数篡改: 金额/数量/折扣由客户端传入且服务端未重新计算；订单金额可为负数
• 流程绕过: 多步流程（注册-验证-设置密码）步骤间缺少状态校验，可直接跳到后续接口

---

检测清单

审计时逐项确认，每发现一项即记录 EVID 证据:

• Spring Security 配置链顺序问题或过度 permitAll
• Shiro filterChainDefinitionMap URI 解析差异绕过
• 自定义 Filter/Interceptor early return 或白名单绕过
• 数据查询是否绑定当前用户 ID（水平越权）
• 敏感接口是否有角色/权限注解（垂直越权）
• JWT 是否强制指定算法 + 密钥安全存储 + Claims 全验证
• 密码存储 bcrypt/scrypt/argon2; 对称加密 AES-GCM 且密钥不硬编码
• 随机数使用 SecureRandom
• Actuator 端点限制访问 + 认证保护
• 全局异常处理器吞掉堆栈; 生产关闭 debug/devtools; 日志无敏感数据
• 金额/库存操作原子性; 多步流程状态机校验