NewBee Mall 项目搭建与安全审计教学文档

项目概述

NewBee Mall 是一个基于 Java 的电商系统项目，采用 Spring Boot + MyBatis 技术栈构建。本文档将详细介绍该项目的环境搭建流程和安全审计要点。

环境搭建

1. 项目获取

• 源码地址：https://github.com/newbee-ltd/newbee-mall
• 直接从 GitHub 下载源码到本地

2. 开发环境准备

推荐开发工具：

• IDEA（集成开发环境）
• PHPStudy（Web 环境集成包）
• Navicat Premium 17（数据库管理工具）

3. 数据库配置

关键步骤：

1. 在 PHPStudy 中启动 Web 环境
2. 新建数据库，必须命名为：newbee_mall_db
3. 导入 SQL 文件：\newbee-mall-master\src\main\resources\newbee_mall_schema.sql
4. 修改数据库配置文件，确保数据库名称和用户名正确

4. 数据库连接验证

• 使用 Navicat Premium 17 连接数据库
• 成功连接并显示数据库结构即表示配置正确

5. 项目启动

• 直接访问：http://localhost:28089/
• 成功显示页面表示环境搭建完成

安全审计要点

1. 审计准备阶段

重点审查文件：

• pom.xml：查看项目依赖和版本信息
• README.md：了解项目架构和技术栈

2. SQL 注入漏洞审计

审计方法：

1. 识别风险点：

   • 项目使用 MyBatis，可能存在 SQL 注入风险
   • 重点搜索 ${ 符号，查找 SQL 拼接语句

2. 实际审计发现：

   • 经检查未发现 ${} 拼接 SQL 的情况
   • 项目可能已修复，使用 #{} 实现参数预编译
   • 具体分析文件：NewBeeMallGoodsMapper.java

3. 代码追踪路径：

   NewBeeMallGoodsController.java → 
   NewBeeMallGoodsServiceImpl.java → 
   NewBeeMallGoodsMapper.java
   

3. 权限绕过漏洞审计

常见风险场景：

1. 水平越权漏洞：

   • 修改 URL 参数中的用户 ID（+1、-1、随机 ID）
   • 尝试访问其他用户的资源
   • 检查拦截器（interceptor）配置

2. 垂直越权漏洞：

   • 直接访问管理接口（如 /admin）
   • 尝试访问内部接口（如 /internal、/debug）

3. 文件访问权限：

   • 通过可访问 URL 尝试访问其他用户文件
   • 检查路径权限校验和 token 验证机制

4. 其他安全漏洞审计

需要检查的漏洞类型：

1. XSS 漏洞：

   • 检查用户输入过滤机制
   • 验证输出编码处理

2. CSRF 漏洞：

   • 检查表单令牌验证
   • 验证请求来源检查机制

3. 逻辑漏洞：

   • 业务流程中的权限校验
   • 订单处理、支付等关键业务逻辑

具体代码审计示例

SQL 注入审计深度分析

// 在 NewBeeMallGoodsServiceImpl.java 中
@Override
public PageResult getNewBeeMallGoodsPage(PageQueryUtil pageUtil) {
    List<NewBeeMallGoods> goodsList = goodsMapper.findNewBeeMallGoodsList(pageUtil);
    int total = goodsMapper.getTotalNewBeeMallGoods(pageUtil);
    PageResult pageResult = new PageResult(goodsList, total, pageUtil.getLimit(), pageUtil.getPage());
    return pageResult;
}

// 在 NewBeeMallGoodsController.java 中
@RequestMapping(value = "/goods/list", method = RequestMethod.GET)
@ResponseBody
public Result list(@RequestParam Map<String, Object> params) {
    if (ObjectUtils.isEmpty(params.get("page")) || ObjectUtils.isEmpty(params.get("limit"))) {
        return ResultGenerator.genFailResult("参数异常！");
    }
    PageQueryUtil pageUtil = new PageQueryUtil(params);
    // 进一步审计参数处理和 SQL 查询
}

安全加固建议

1. SQL 注入防护

• 坚持使用 MyBatis 的参数预编译（#{}）
• 避免使用字符串拼接方式构造 SQL
• 对用户输入进行严格的类型检查和长度验证

2. 权限控制强化

• 实现完善的拦截器机制
• 对敏感操作进行多重身份验证
• 实施最小权限原则

3. 输入验证和输出编码

• 对所有用户输入进行验证和过滤
• 实施适当的输出编码防止 XSS
• 使用安全的 API 处理用户数据

审计工具和方法

1. 静态代码分析

• 使用 IDE 的搜索功能查找敏感关键词
• 分析控制器（Controller）中的权限校验逻辑
• 检查配置文件中的安全相关设置

2. 动态测试方法

• 使用 Burp Suite 等工具进行接口测试
• 尝试各种参数篡改和越权访问
• 进行全面的功能测试和边界测试

总结

NewBee Mall 项目在基础安全方面表现良好，特别是在 SQL 注入防护方面采用了参数预编译机制。但在实际部署和使用过程中，仍需重点关注权限控制机制的完善性，特别是水平越权和垂直越权的防护。建议在正式环境中部署前进行完整的安全测试，并建立持续的安全监控机制。

通过本教学文档的学习，安全审计人员可以掌握电商类 Java 项目的安全审计方法和要点，为类似项目的安全评估提供参考框架。