Kotlin 应用安全：初学者必知的十大漏洞

Kotlin 应用程序安全：初学者应了解的十大漏洞

Kotlin 是一种现代编程语言，广泛应用于 Android 应用开发、服务器端解决方案和多平台项目。然而，即使其具有严格的类型系统和默认安全性，新手开发者也常会犯错，导致严重漏洞。本文将介绍 Kotlin 应用中十大最常见的安全问题，展示危险代码示例，并提供修复建议。

1. SQL 注入

这是最古老且最危险的漏洞之一。如果直接将用户输入拼接进 SQL 查询语句，攻击者便可执行任意命令。

// 危险：字符串拼接val query = "SELECT * FROM users WHERE name = '$userInput'"statement.executeQuery(query)

// 安全：使用参数化查询val query = "SELECT * FROM users WHERE name = ?"val preparedStatement = connection.prepareStatement(query)preparedStatement.setString(1, userInput)preparedStatement.executeQuery()

2. 密码存储不安全

切勿以明文形式存储密码。应使用 bcrypt、Argon2 或 PBKDF2。在 Kotlin 中，可使用 spring-security-crypto 库或配合哈希算法的 kotlinx-serialization。

// 危险：以明文存储data class User(val password: String)

// 安全：加盐哈希import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder

val encoder = BCryptPasswordEncoder()val hashedPassword = encoder.encode(plainPassword)

3. 缺乏输入验证

所有用户数据都必须经过验证。忽视此规则会导致 XSS、注入和拒绝服务攻击。

// 危险：未转义直接输出fun renderHtml(userInput: String): String {    return "<div>$userInput</div>"}

// 安全：HTML 转义import org.owasp.encoder.Encode

fun renderSafeHtml(userInput: String): String {    return "<div>${Encode.forHtml(userInput)}</div>"}

4. 数据序列化漏洞

Kotlin 使用 kotlinx.serialization 或 Gson/Moshi。配置不当可能导致敏感数据泄露或远程代码执行。

// 危险：序列化所有字段@Serializabledata class User(    val name: String,    val passwordHash: String // 哈希值泄露!)

// 安全：排除敏感字段@Serializabledata class SafeUser(    val name: String,    @Transient val passwordHash: String = "")

5. WebView 使用不安全（Android）

在 Kotlin 开发 Android 应用时，经常使用 WebView。若未禁用 JavaScript 或未配置过滤机制，则可能遭受 XSS 攻击。

// 危险：启用 JavaScript 但无过滤webView.settings.javaScriptEnabled = truewebView.loadUrl("file:///android_asset/index.html")

// 安全：为静态内容禁用 JavaScriptwebView.settings.javaScriptEnabled = false// 或使用内容安全策略webView.loadDataWithBaseURL(null, content, "text/html", "UTF-8", null)

6. 会话管理不当

将身份验证令牌未加密地存储在 SharedPreferences 中是常见错误。应使用 EncryptedSharedPreferences 或 Android Keystore。

// 危险：以明文存储令牌val prefs = context.getSharedPreferences("auth", Context.MODE_PRIVATE)prefs.edit().putString("token", token).apply()

// 安全：加密存储val encryptedPrefs = EncryptedSharedPreferences.create(    "secure_prefs",    MasterKey.DEFAULT_MASTER_KEY_ALIAS,    contex