Spring Web 参数转换器安全指南

1. 概述

在 Spring Web 应用程序中，参数转换器（Converter 和 Formatter）在处理传入数据时起着至关重要的作用。这些组件负责将 HTTP 请求中的字符串参数转换为控制器方法期望的类型，是 Spring MVC 框架中数据绑定的关键部分。

2. Spring 参数处理过程

Spring MVC 处理请求参数的主要流程：

1. 当请求到达时，Spring 会遍历已配置的参数解析器列表
2. 对每个解析器调用 supportsParameter() 方法判断是否支持当前参数类型
3. 找到支持的解析器后，调用其 resolveArgument() 方法解析参数值
4. 在解析过程中，Spring 使用 WebDataBinderFactory 和内置的 Converter/Formatter 完成类型转换

默认情况下，Spring 提供了 124 个内置转换器。

3. 转换器类型

3.1 Converter 接口

特点：

• 位于 org.springframework.core.convert 包
• 用于任意两个类型之间的转换
• 在 ConversionService 中注册
• 主要方法：

  T convert(S source);
  

示例：

public class StringToBookConverter implements Converter<String, Book> {
    @Override
    public Book convert(String isbn) {
        // 转换逻辑
    }
}

3.2 Formatter 接口

特点：

• 位于 org.springframework.format 包
• 专门用于字符串与对象之间的相互转换
• 继承自 Printer 和 Parser 接口
• 主要方法：

  T parse(String text, Locale locale);
  String print(T object, Locale locale);
  

示例：

public class BookFormatter implements Formatter<Book> {
    @Override
    public Book parse(String text, Locale locale) {
        // 解析逻辑
    }
    
    @Override
    public String print(Book book, Locale locale) {
        // 格式化逻辑
    }
}

3.3 两者区别

4. 自定义转换器实现

在 Spring 配置中添加自定义转换器：

@Configuration
public class WebConfig implements WebMvcConfigurer {
    @Override
    public void addFormatters(FormatterRegistry registry) {
        registry.addConverter(new MySpringConverter());
        registry.addFormatter(new MySpringFormatter());
    }
}

5. 安全风险分析

5.1 常见风险

1. SQL 注入风险

   • 当转换器直接使用用户输入构造 SQL 查询时
   • 示例：

     public Book parse(String bookIdentifier, Locale locale) {
         // 危险：直接拼接SQL
         return repository.findOne("WHERE isbn = '" + bookIdentifier + "'");
     }
     

2. JSON 解析风险

   • 使用宽松的 JSON 解析器可能导致参数走私
   • 示例：

     JSONParser parser = new JSONParser();
     JSONObject json = (JSONObject) parser.parse(userInput);
     

3. 第三方服务集成风险

   • 自定义转换器处理第三方数据时可能引入安全隐患

5.2 JSON-Smart 解析器风险

问题分析：

• JSONParser 默认使用宽松模式(DEFAULT_PERMISSIVE_MODE = -1)
• 会忽略控制字符如 \u0000、\u007f 等
• 可能导致参数走私，绕过 WAF/Filter

示例：

String test = "{\"\\u0061ctivityId\u0000\":\"321\"}";
JSONObject obj = (JSONObject) new JSONParser().parse(test);
// 实际获取的是 {"activityId":"321"}，但原始输入包含控制字符

安全修复：

// 使用严格模式解析
Object obj = JSONValue.parseStrict(body);

模式对比：

6. 安全最佳实践

1. 输入验证

   • 在转换器中添加严格的输入验证逻辑
   • 示例：

     public Book parse(String isbn, Locale locale) {
         if (!isValidIsbn(isbn)) {
             throw new IllegalArgumentException("Invalid ISBN");
         }
         // 安全处理
     }
     

2. 使用安全解析模式

   • 对于 JSON 解析，优先使用严格模式
   • 示例：

     // 使用严格模式
     Object obj = JSONValue.parseStrict(jsonString);
     

3. 参数化查询

   • 避免在转换器中拼接 SQL
   • 使用 JPA/Hibernate 等 ORM 框架的安全查询方式

4. 白名单验证

   • 对于第三方数据集成，实施严格的白名单验证

5. 日志记录

   • 记录转换失败的输入用于安全审计

7. 审计要点

在代码审计中应关注：

1. 查找所有自定义 Converter 和 Formatter 实现
2. 检查转换逻辑中是否存在：
   • 直接 SQL 拼接
   • 不安全的反射使用
   • 宽松的输入验证
   • 不安全的 JSON/XML 解析
3. 检查第三方集成点的数据处理
4. 验证是否使用了安全的解析模式

8. 总结

Spring 的参数转换器是 Web 应用程序中重要的数据处理组件，但也可能成为安全风险的隐蔽入口点。开发人员和安全审计人员应当：

1. 充分理解转换器的工作原理
2. 实施严格的输入验证和输出编码
3. 优先使用安全的解析模式
4. 定期审计自定义转换器实现
5. 保持对第三方依赖的安全更新

通过合理的设计和安全实践，可以充分发挥 Spring 转换器的优势，同时有效降低安全风险。