java - Web 应用程序 Controller 中的参数映射大小验证与 Web 安全有什么好处

Question

我有一个 Web 应用程序(Spring MVC)，并且对 Controller 中的每个参数进行输入数据验证。不存在的是检查接受的参数映射大小。即当 Controller 期望 10 个参数而请求有 11 或 9 个参数时。

有人告诉我，参数大小对于检查以防止任何攻击或注入(inject)(即安全 pov)非常重要，尤其是参数调节。这在 ZAP 扫描期间突出显示，其中 ZAP 将新参数查询添加到没有请求参数的 URL。

在我看来，除非有商业原因，否则可以跳过尺寸检查。应用程序将简单地忽略额外的参数，如果有任何 Not Acceptable 参数，输入数据验证将处理它。大小检查不会为安全性带来合理的好处。

我的理由是，开发人员可能只写了10个参数，但底层框架可以添加更多参数。 For-ex Spring MVC 将添加一个参数(csrf token)。框架的任何升级都会或多或少地引入这些内容。

现在，问题 - 当每个参数验证已经就位时，检查参数映射的大小是否重要？这样做的真正安全好处是什么？

PS:我没有得到有关安全交换的回复，因此将其发布在这里。 https://security.stackexchange.com/questions/192569/benefit-of-parameter-map-size-validation-in-web-application-controller

Answer 1

使用尺寸图有一些好处。例如防止 HPP 攻击等。您必须权衡应用程序的维护难题与此类攻击的风险。 ZAP 在没有参数的 URL 上添加查询参数，以便测试 DOM XSS 等一些可能会被错过或忽略的东西。