Java代码审计中的"幽灵代码"：切面、拦截器与过滤器深度解析

一、前言

在Java代码审计过程中，经常会遇到看似存在漏洞但实际上无法复现的情况，这种现象被称为"幽灵代码"问题。本文将从Spring AOP、拦截器和过滤器三个维度，深入分析这些"看不见"的安全控制机制。

二、Spring AOP机制

2.1 基础知识

AOP（Aspect Oriented Programming）是面向切面编程技术，通过预编译方式和运行期动态代理实现程序功能的统一维护。

核心概念：

• 切面(Aspect)：横切关注点的模块化，使用@Aspect注解标识
• 切点(Pointcut)：确定在何处应用通知
• 通知(Advice)：在特定连接点执行的动作

通知类型：

1. @Before：目标方法调用前执行
2. @AfterReturning：目标方法正常完成后执行
3. @AfterThrowing：处理未捕获异常
4. @After：无论目标方法是否成功完成都会执行
5. @Around：最强大的通知类型，可控制方法执行前后

2.2 代码实现

基于execution表达式的切面：

@Aspect
@Component
public class LoggingAspect {
    @Before("execution(public * com.example.service.UserService.*(..))")
    public void doAccessCheck() {
        System.err.println("[Before] do access check...");
    }
}

基于注解的切面：

@Aspect
@Component
public class LogerAspect {
    @Before("@annotation(controllerLoger)")
    public void doBefore(JoinPoint point, Loger controllerLoger) {
        System.out.println("[+] doBefore start .....");
    }
}

2.3 实际案例：若依(RuoYi)的SQL注入修复

在RuoYi 4.7.2版本中，虽然Mapper文件仍使用${}拼接SQL，但通过AOP实现了安全防护：

1. Controller方法添加@DataScope注解：

@DataScope(deptAlias = "d")
public List<SysDept> selectDeptList(SysDept dept) {
    return deptService.selectDeptList(dept);
}

2. 切面实现类DataScopeAspect：

@Aspect
@Component
public class DataScopeAspect {
    @Before("@annotation(controllerDataScope)")
    public void doBefore(JoinPoint point, DataScope controllerDataScope) {
        clearDataScope(point);
    }
    
    protected void clearDataScope(final JoinPoint joinPoint) {
        // 清除可能导致SQL注入的参数
    }
}

三、拦截器(Interceptor)

3.1 基础知识

拦截器主要用于拦截用户请求并作出相应处理，常用于权限验证、日志记录等场景。

核心方法：

1. preHandle：Controller执行前调用
2. postHandle：Controller正常完成后调用
3. afterCompletion：无论Controller是否抛出异常都会调用

3.2 实现方式

1. 实现HandlerInterceptor接口：

public class AuthInterceptor implements HandlerInterceptor {
    @Override
    public boolean preHandle(HttpServletRequest request, 
                           HttpServletResponse response, 
                           Object handler) {
        // 权限校验逻辑
        return true; // 返回false则中断请求
    }
}

2. 注册拦截器：

@Configuration
public class AppConfig implements WebMvcConfigurer {
    @Override
    public void addInterceptors(InterceptorRegistry registry) {
        registry.addInterceptor(new AuthInterceptor());
    }
}

3.3 实际案例：权限控制

Controller看似无保护：

@GetMapping("/secret")
public String getSecret() {
    return "Admin secret: 123456";
}

拦截器实现权限校验：

public boolean preHandle(HttpServletRequest request, 
                       HttpServletResponse response, 
                       Object handler) {
    if(isSecret(request.getRequestURI())) {
        return authenticateByHeader(request);
    }
    return true;
}

private boolean authenticateByHeader(HttpServletRequest request) {
    // 从Header获取认证信息并验证
}

四、过滤器(Filter)

4.1 基础知识

Filter在Servlet规范中定义，用于在请求到达Servlet前进行预处理。

核心方法：

• doFilter：执行过滤逻辑，必须调用chain.doFilter()继续处理

4.2 实现方式

1. 实现Filter接口：

@WebFilter("/*")
public class AuthFilter implements Filter {
    @Override
    public void doFilter(ServletRequest request, 
                        ServletResponse response, 
                        FilterChain chain) {
        // 过滤逻辑
        chain.doFilter(request, response);
    }
}

2. 或在web.xml中配置：

<filter>
    <filter-name>authFilter</filter-name>
    <filter-class>com.example.AuthFilter</filter-class>
</filter>
<filter-mapping>
    <filter-name>authFilter</filter-name>
    <url-pattern>/secret</url-pattern>
</filter-mapping>

4.3 实际案例：权限控制

Filter实现：

public void doFilter(ServletRequest request, 
                    ServletResponse response, 
                    FilterChain chain) {
    HttpServletRequest req = (HttpServletRequest) request;
    if("/secret".equals(req.getRequestURI())) {
        try {
            authenticateByHeader(req);
            chain.doFilter(request, response);
        } catch(Exception e) {
            response.getWriter().write("Authorization error");
        }
    } else {
        chain.doFilter(request, response);
    }
}

五、三者的区别与联系

六、代码审计要点

1. AOP审计：

   • 检查项目中所有@Aspect注解的类
   • 分析切入点表达式和通知逻辑
   • 特别注意@Around通知对参数的处理

2. 拦截器审计：

   • 查找HandlerInterceptor实现类
   • 检查preHandle中的安全控制逻辑
   • 确认拦截路径是否完整覆盖敏感接口

3. 过滤器审计：

   • 检查web.xml中的Filter配置
   • 查找@WebFilter注解的类
   • 分析doFilter方法中的安全控制

4. 综合审计策略：

   • 不要仅凭Controller代码判断漏洞存在
   • 全局搜索安全相关注解和配置
   • 构建完整调用链分析安全控制

七、总结

Java安全控制机制的多层性使得代码审计需要全面考虑AOP、拦截器和过滤器等"幽灵代码"的影响。理解这些机制的工作原理和实现方式，才能准确判断漏洞的真实存在性，避免误判和漏判。