在 Debian 环境下用 JSP 做安全控制，说复杂也复杂，说简单也简单——关键是把几个核心环节抓实。下面就从 HTTPS 配置、输入过滤、会话管理、访问控制，一直到日志监控，挨个捋一遍。

1. 使用 HTTPS

HTTPS 是 Web 应用的安全底线，它加密了客户端和服务器之间的通信，直接防住中间人攻击。这一步不做，后面再花哨都是白搭。

配置 SSL/TLS

在 Debian 上，用 Certbot 来申请和配置 SSL 证书是最省事的办法。两步走：

1. 先装 Certbot 和 Apache 插件：

   sudo apt update
   sudo apt install certbot python3-certbot-apache

2. 然后运行 Certbot，它会自动帮你把证书配好：

   sudo certbot --apache -d yourdomain.com

2. 输入验证和过滤

用户输入是攻击者最爱的突破口。SQL 注入、XSS 这些老问题，根源都在于对输入过于信任。所以，对所有输入做严格的验证和过滤，是必须养成的好习惯。

使用 PreparedStatement

当年还在用 Statement 拼接 SQL 字符串的做法早该淘汰了。改用 PreparedStatement，参数占位符自动帮你转义，SQL 注入基本上就堵死了：

<%
String sql = "SELECT * FROM users WHERE username = ? AND password = ?";
PreparedStatement pstmt = connection.prepareStatement(sql);
pstmt.setString(1, request.getParameter("username"));
pstmt.setString(2, request.getParameter("password"));
ResultSet rs = pstmt.executeQuery();
%>

使用 EL 表达式和 JSTL 标签库

JSP 页面里尽量别直接写 Ja va 代码，一是不好维护，二是容易埋 XSS 漏洞。用 JSTL 配合 EL 表达式，既能保持页面干净，又能自动做输出转义：

<%@ taglib uri="http://ja va.sun.com/jsp/jstl/core" prefix="c" %>




    
Welcome, ${user.username}!

3. 会话管理

会话是 Web 应用状态的载体，一旦被劫持或固定，整个用户身份就形同虚设。所以会话管理要做得够细。

设置会话超时

在 web.xml 里明确会话超时时间，避免用户离开后会话长期有效：

    30 

使用安全的会话 ID 生成器

默认的会话 ID 生成机制可能不够随机，最好自己动手生成一个不可预测的 ID：

session.setId(UUID.randomUUID().toString());

4. 访问控制

不是所有资源都对所有人开放。敏感操作和后台页面，必须加上权限校验。

使用 Servlet 过滤器

过滤器是统一做权限检查的好地方。下面的例子拦截了 /admin/* 路径，未登录或非管理员直接跳转到登录页：

@WebFilter("/admin/*")
public class AdminFilter implements Filter {
    @Override
    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain)
            throws IOException, ServletException {
        HttpServletRequest httpRequest = (HttpServletRequest) request;
        HttpServletResponse httpResponse = (HttpServletResponse) response;
        if (httpRequest.getSession().getAttribute("user") == null ||
            !((User) httpRequest.getSession().getAttribute("user")).isAdmin()) {
            httpResponse.sendRedirect("/login");
            return;
        }
        chain.doFilter(request, response);
    }
}

5. 日志记录和监控

出了安全事件不可怕，可怕的是没人知道。完善的日志和监控可以帮你第一时间发现问题。

使用 SLF4J 和 Logback

在 Ma ven 或 Gradle 里引入依赖：

    org.slf4j
    slf4j-api
    1.7.30


    ch.qos.logback
    logback-classic
    1.2.3

然后在 logback.xml 里定义输出格式和级别。比如输出到控制台，日志格式里带上时间戳、级别和类名：

    
        
            %d{yyyy-MM-dd HH:mm:ss} %-5level %logger{36} - %msg%n
        
    
    
        
    

把这些环节串起来，在 Debian 上用 JSP 搭建一个安全可控的 Web 应用，其实并没有想象中那么复杂。关键是每个点都要做到位，不给自己留漏洞。