第31讲 | 你了解Java应用开发中的注入攻击吗？

也不是很懂，根据自己的理解讲一下，部分可能是错误的。中间人攻击原理大概是用户在正常上网的时候，同网段的恶意用户对其进行欺骗。恶意用户向局域网广播:我是路由器，然后正常用户(电脑无防御)收到以后认为恶意用户就是路由器，然后向恶意用户发送数据包，恶意用户可以截获数据包，再向路由器发送正常用户的数据包，路由器将返回的数据包在给恶意用户，恶意用户在给正常用户，恶意用户就形成了中间人的效果，可以向返回的数据包注入html代码，达到劫持用户网站的效果，不过现在大部分的网站都是https且双向认证，比较难获取到用户发送数据包中的账号密码。

每次使用开源组件，经常关注使用版本修复的问题列表，其中的安全修复值得重点关注

杨老师，您好，被一个安全问题困扰许久。就是开发者是否能够通过一定的手段修改jdk中的String类，并将修改后的String类进行替换，对于这个问题，应当从哪里开始寻找答案？谢谢

中间人攻击最容易理解的可能就是fiddler吧，他可以截获request重新组织request的数据，有个专业的攻击工具叫burp。

PreparedStatement又是如何防范sql注入的呢？ preparedStatement = "SELECT * FROM users WHERE name = ?"; preparedStatement.setString(1, userName); 查询“ SELECT * FROM users where where name =？” 将被发送到数据库，数据库会对其进行编译，然后将替换setString中的userName。 如果数据库看到非法值，它将引发错误。 因此，'or'1'='1将被视为一个完整的字符串，而不是包含运算符or和=的语句, 也就是数据库将其视为值为 "' or '1'='1"的字符（虽然是个奇怪的字符串）。 总结就一句话，占位符只能存储给定类型的值，而不能存储任意SQL片段（你写片段，我也把你看成是整体，即该类型的特别输入，比如上面的"' or '1'='1"就被看成是一个特别的String） https://stackoverflow.com/questions/4333015/does-the-preparedstatement-avoid-sql-injection https://en.wikipedia.org/wiki/SQL_injection

期待杨晓峰老师直播！

或者通过明文传输、存储，这些都存在暴露安全隐患的可能。 朗读者将 明文 读成 文明 难道只有我注意到么？

String你懂双亲委派就知道，自己定义String是用不了的。

我来回答，，鸡肉饭饭的，，，数据存在immutable,mutable,两种，java没有原生immutable支持，string如果是new就是相对意义的immutable,java基本类型和string是有高效缓存池范围，OK?

中间人攻击，现在https如果被中间人代理了，一般程序要检查https证书是否合法，Android就是在本地保存一份合法https证书去检查线上https是否合法，缺点就是每次https证书到期之前要升级一次客户端，还有就是抓包调试的时候需要去掉https证书检查，才能正常运行抓包。