《Java代码审计 入门篇》Java代码审计入门篇避免使用Eval

以前在写爬虫时，我还了解了一些安全知识，但现在接触得比较少。最近翻看了一些资料，也只算是了解了一些名词。

我记得当初学Python的时候，官方教程里有一句话让我印象深刻：Eval语句是不安全的。我感觉绝大多数安全漏洞，本质上都是因为给了用户执行Eval语句的机会。

具体来说，可能会执行Eval语句的有： 1. 你的代码（没有审核的Java反射、外部实体） 2. 有漏洞的反序列化工具 3. 用户的浏览器（XXS） 4. 或者任何奇怪的东西

甚至可以说，Eval语句是很广泛存在的。因此对于一个web服务来说，必须时刻对用户输入保持警惕，尽量将用户输入隔离在可执行Eval的语句之外。