Что такое OWASP Top 10 и какие уязвимости наиболее актуальны для Java-разработчика?

// УЯЗВИМЫЙ КОД: нет проверки владельца
@GetMapping("/api/accounts/{id}")
public Account getAccount(@PathVariable Long id) {
    return accountRepository.findById(id).orElseThrow();
}

// БЕЗОПАСНЫЙ КОД: проверка принадлежности
@GetMapping("/api/accounts/{id}")
public Account getAccount(@PathVariable Long id, Authentication auth) {
    Account account = accountRepository.findById(id).orElseThrow();
    if (!account.getOwner().equals(auth.getName())) {
        throw new AccessDeniedException("Нет доступа к чужому счёту");
    }
    return account;
}

// НЕПРАВИЛЬНО
String hashedPassword = DigestUtils.md5Hex(password); // MD5 небезопасен!

// ПРАВИЛЬНО
String hashedPassword = new BCryptPasswordEncoder(12).encode(password);

// УЯЗВИМЫЙ КОД
String query = "SELECT * FROM users WHERE login = '" + userInput + "'";

// БЕЗОПАСНЫЙ КОД: параметризованные запросы
@Query("SELECT u FROM User u WHERE u.login = :login")
User findByLogin(@Param("login") String login);

// НЕБЕЗОПАСНО: нет лимита на перебор кодов подтверждения
@PostMapping("/api/confirm-transfer")
public void confirm(@RequestBody ConfirmRequest request) {
    if (request.getCode().equals(expectedCode)) { ... }
}

// БЕЗОПАСНО: ограничение попыток
@PostMapping("/api/confirm-transfer")
public void confirm(@RequestBody ConfirmRequest request) {
    if (attemptCounter.incrementAndGet(request.getTransferId()) > 3) {
        throw new TooManyAttemptsException("Превышен лимит попыток");
    }
    // ...
}

# НЕПРАВИЛЬНО: стандартные настройки в production
management:
  endpoints:
    web:
      exposure:
        include: "*"    # Все actuator-эндпоинты открыты!

# ПРАВИЛЬНО
management:
  endpoints:
    web:
      exposure:
        include: health,info,prometheus

// УЯЗВИМО: th:utext не экранирует HTML
// <p th:utext="${name}"></p>

// БЕЗОПАСНО: th:text экранирует HTML
// <p th:text="${name}"></p>

// Spring Security: CSRF включён по умолчанию
http.csrf(csrf -> csrf
    .csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse())
);
// Для REST API с JWT — CSRF можно отключить

// УЯЗВИМО: пользователь указывает URL
@GetMapping("/api/fetch")
public String fetch(@RequestParam String url) {
    return restTemplate.getForObject(url, String.class);
}

// БЕЗОПАСНО: белый список доменов
private static final Set<String> ALLOWED_HOSTS = Set.of("api.cbr.ru");

@GetMapping("/api/fetch")
public String fetch(@RequestParam String url) {
    URI uri = URI.create(url);
    if (!ALLOWED_HOSTS.contains(uri.getHost())) {
        throw new SecurityException("Запрещённый хост");
    }
    return restTemplate.getForObject(url, String.class);
}