Java核心技术面试精讲
杨晓峰
前Oracle首席工程师
立即订阅
43250 人已学习
课程目录
已完结 43 讲
0/4登录后，你可以任选4讲全文学习。
开篇词 (1讲)
开篇词 | 以面试题为切入点，有效提升你的Java内功
免费
模块一 Java基础 (14讲)
第1讲 | 谈谈你对Java平台的理解？
第2讲 | Exception和Error有什么区别？
第3讲 | 谈谈final、finally、 finalize有什么不同？
第4讲 | 强引用、软引用、弱引用、幻象引用有什么区别？
第5讲 | String、StringBuffer、StringBuilder有什么区别？
第6讲 | 动态代理是基于什么原理？
第7讲 | int和Integer有什么区别？
第8讲 | 对比Vector、ArrayList、LinkedList有何区别？
第9讲 | 对比Hashtable、HashMap、TreeMap有什么不同？
第10讲 | 如何保证集合是线程安全的? ConcurrentHashMap如何实现高效地线程安全？
第11讲 | Java提供了哪些IO方式？ NIO如何实现多路复用？
第12讲 | Java有几种文件拷贝方式？哪一种最高效？
第13讲 | 谈谈接口和抽象类有什么区别？
第14讲 | 谈谈你知道的设计模式？
模块二 Java进阶 (16讲)
第15讲 | synchronized和ReentrantLock有什么区别呢？
第16讲 | synchronized底层如何实现？什么是锁的升级、降级？
第17讲 | 一个线程两次调用start()方法会出现什么情况？
第18讲 | 什么情况下Java程序会产生死锁？如何定位、修复？
第19讲 | Java并发包提供了哪些并发工具类？
第20讲 | 并发包中的ConcurrentLinkedQueue和LinkedBlockingQueue有什么区别？
第21讲 | Java并发类库提供的线程池有哪几种？ 分别有什么特点？
第22讲 | AtomicInteger底层实现原理是什么？如何在自己的产品代码中应用CAS操作？
第23讲 | 请介绍类加载过程，什么是双亲委派模型？
第24讲 | 有哪些方法可以在运行时动态生成一个Java类？
第25讲 | 谈谈JVM内存区域的划分，哪些区域可能发生OutOfMemoryError?
第26讲 | 如何监控和诊断JVM堆内和堆外内存使用？
第27讲 | Java常见的垃圾收集器有哪些？
第28讲 | 谈谈你的GC调优思路?
第29讲 | Java内存模型中的happen-before是什么？
第30讲 | Java程序运行在Docker等容器环境有哪些新问题？
模块三 Java安全基础 (2讲)
第31讲 | 你了解Java应用开发中的注入攻击吗？
第32讲 | 如何写出安全的Java代码？
模块四 Java性能基础 (3讲)
第33讲 | 后台服务出现明显“变慢”，谈谈你的诊断思路？
第34讲 | 有人说“Lambda能让Java程序慢30倍”，你怎么看？
第35讲 | JVM优化Java代码时都做了什么？
模块5 Java应用开发扩展 (4讲)
第36讲 | 谈谈MySQL支持的事务隔离级别，以及悲观锁和乐观锁的原理和应用场景？
第37讲 | 谈谈Spring Bean的生命周期和作用域？
第38讲 | 对比Java标准NIO类库，你知道Netty是如何实现更高性能的吗？
第39讲 | 谈谈常用的分布式ID的设计方案？Snowflake是否受冬令时切换影响？
周末福利 (2讲)
周末福利 | 谈谈我对Java学习和面试的看法
周末福利 | 一份Java工程师必读书单
结束语 (1讲)
结束语 | 技术没有终点
Java核心技术面试精讲
登录|注册
第32讲 | 如何写出安全的Java代码？
杨晓峰 2018-07-19
在上一讲中，我们已经初步接触了 Java 安全，今天我们将一起探讨更多 Java 开发中可能影响到安全的场合。很多安全问题，在特定的上下文，存在着不同的定义，尽管本质是相似或一致的，这是由于 Java 平台自身的特性所带来特有的问题。今天这一讲我将侧重于 Java 开发者的角度谈代码安全，而不是讲广义的安全风险。
今天我要问你的问题是，如何写出安全的 Java 代码？
典型回答
这个问题可能有点宽泛，我们可以用特定类型的安全风险为例，如拒绝服务（DoS）攻击，分析 Java 开发者需要重点考虑的点。
DoS 是一种常见的网络攻击，有人也称其为“洪水攻击”。最常见的表现是，利用大量机器发送请求，将目标网站的带宽或者其他资源耗尽，导致其无法响应正常用户的请求。
我认为，从 Java 语言的角度，更加需要重视的是程序级别的攻击，也就是利用 Java、JVM 或应用程序的瑕疵，进行低成本的 DoS 攻击，这也是想要写出安全的 Java 代码所必须考虑的。例如：
如果使用的是早期的 JDK 和 Applet 等技术，攻击者构建合法但恶劣的程序就相对容易，例如，将其线程优先级设置为最高，做一些看起来无害但空耗资源的事情。幸运的是类似技术已经逐步退出历史舞台，在 JDK 9 以后，相关模块就已经被移除。
上一讲中提到的哈希碰撞攻击，就是个典型的例子，对方可以轻易消耗系统有限的 CPU 和线程资源。从这个角度思考，类似加密、解密、图形处理等计算密集型任务，都要防范被恶意滥用，以免攻击者通过直接调用或者间接触发方式，消耗系统资源。
利用 Java 构建类似上传文件或者其他接受输入的服务，需要对消耗系统内存或存储的上限有所控制，因为我们不能将系统安全依赖于用户的合理使用。其中特别注意的是涉及解压缩功能时，就需要防范Zip bomb等特定攻击。
另外，Java 程序中需要明确释放的资源有很多种，比如文件描述符、数据库连接，甚至是再入锁，任何情况下都应该保证资源释放成功，否则即使平时能够正常运行，也可能被攻击者利用而耗尽某类资源，这也算是可能的 DoS 攻击来源。
取消
完成
0/1000字
划线
笔记
复制
© 版权归极客邦科技所有，未经许可不得传播售卖。 页面已增加防盗追踪，如有侵权极客邦将依法追究其法律责任。
该试读文章来自付费专栏《Java核心技术面试精讲》，如需阅读全部文章，
请订阅文章所属专栏。
请订阅文章所属专栏。
立即订阅
登录 后留言
精选留言(13)
Len在密码使用的场景中，比如用户注册/登录。
我使用 char[] 数组存储和验证密码，并在使用结束后，通过随机的字符覆盖掉 char[]。
如果使用 string 存储密码，由于它的不可变性，它的缺陷是会一直驻留在堆中，直到未来被垃圾回收。作者回复: 不错
2018-07-20 1 48
三木子
最近项目在改安全问题，主要遇到的有：SQL注入，IO流没有关闭，使用不安全Random，重定向Url合法性没做检验，上传文件前后端没做文件大小类型校验。通过反射方式访问私有方法。日志包含敏感信息，没有禁止除GET,POST以外的HTTP请求等等作者回复: jdk新版中 random升级很多，例如基于DRBG的实现，值得尝试
2018-07-19 7
我滴头好大呀期待2018-07-19 4
Leiy老师，你好，那个c是负数，b是正数，c-b也可能溢出吧？作者回复: 对，所以我强调判断数值范围，具体看情况选择
2018-07-20 2
Dimple这节课让我想去以前在菊厂做的各种红线检查，就是针对各种安全来应对的。通过findbugs，pclint，fortify等静待代码检查；安全扫描；Sql注入；Android还有Monkey测试等手段进行安全攻防2019-04-08 1- birdzxc老师，能否就spring 源码 解读一下呢？非常期待2018-07-19 1
郭俊杰老师，你好，多线程访问共享数据会有线程安全问题，是不是在方法内部new的对象也一样存在线程安全问题呢？作者回复: 需要理解为什么有线程安全问题，看是否线程间共享，不可变还是可修改
2018-08-18- 羊羊羊安全倾向于 “明显没有漏洞”，而不是“没有明显漏洞”。这段话很喜欢，老师能不能在详细的剖析下这句话。2018-07-21
- Santo错过了老师的live课，好可惜，不知道后面还有没有？2018-07-21
小粉蒸请问没赶上直播的怎么办，有录音之类的吗？2018-07-20
王大为谢谢老师的回复，我编译的openjdk8,netbeans7.4,按照周志明老师的jvm书籍上说的编译的。请问oracle jdk也可以编译下来断点调试吗,您那边用的什么IDE调试的愣?2018-07-20- 王大为老师，您好，我编译了openjdk，导入到netbeans中，怎么打不了断点调试jdk模块，请您指导下
作者回复: netbeans…基本没怎么用过，openjdk什么版本？netbeans呢？oracle官方的jdk有这个问题吗？
另外build的时候有没有加上—enable-debug之类参数？2018-07-19 
老韩hook有直接可用的或者简单修改就能用的推荐吗作者回复: openjdk用的是自身定制的...但我理解主流代码检查工具，都可以试试定制个适合做check-in守门的版本，想清楚限定什么，一般是个子集
2018-07-19
收起评论