Appscan扫出API成批分配问题解决方案
漏洞条件：
请求json参数不是接收参数的javabean及其父类中的任意属性。
意思就是：我javaben里面没有这个参数 你缺传递过来了 例如我只需要pageNum pageSize 你还传了role:admin 那么这样就有可能导致致特权升级、数据篡改、绕过安全机制
解决方案：
1、自建项目修复方案一：增加反序列化配置方案
#1、在项目的统一序列化配置中开启严格匹配模式（？如有），此处以jackson为例
@Configuration
public class JacksonConverters {@Beanpublic HttpMessageConverters JacksonHttpMessageConverters() {MappingJackson2HttpMessageConverter mappingJackson2HttpMessageConverter= new MappingJackson2HttpMessageConverter();ObjectMapper objectMapper = new ObjectMapper();//省略其他配置开始//反序列化的时候如果多了其他属性,抛出异常objectMapper.configure(DeserializationFeature.FAIL_ON_UNKNOWN_PROPERTIES, true);//省略其他配置结束}
}#2、统一异常捕获或者返回处增加非200状态码/*** 捕获反序列化异常HttpMessageNotReadableException，增加500状态码返回* @param request 请求* @param exception 异常对象* @return 响应*/@ExceptionHandler(value = HttpMessageNotReadableException.class)public ResponseEntity<Map<String, Object>> methodHttpMessageNotReadableExceptionHandler(HttpServletRequest request, HttpMessageNotReadableException exception) {//按需重新封装需要返回的错误信息WebRequest webRequest = new ServletWebRequest(request);Map<String, Object> body = errorAttributes.getErrorAttributes(webRequest, ErrorAttributeOptions.defaults());body.put(DATA, "convert exception message to JSON");body.put(STATUS, HttpStatus.INTERNAL_SERVER_ERROR.value());body.put(MESSAGE, HttpStatus.INTERNAL_SERVER_ERROR.getReasonPhrase());body.put(SUCCESS,false);return new ResponseEntity<>(body, HttpStatus.INTERNAL_SERVER_ERROR);}#2、或在在其他异常拦截方法上增加状态码注解@ResponseStatus() 
2、自建项目修复方案二：签名验证
针对所有的请求增加参数签名，后端采用同样的方式对参数进行签名，比较前后端签名是否一致，伪代码如下：
#前端请求请求 URL: http://localhost/cars/query
请求方法: POST
HTTP状态码：200
playload:{"color":"red","company":"ltl","seats":"2-2"} #正常请求
Header：sign：ErOVBda4VMFdX9aixigRslAjY0rhT7lLxy#后端controller
@PostMapping(value = "/query")
public BaseResponse query(@RequestBody Car car){String signFront=request.header("sign");String signBackend=signUtils.handler(car);if(!signBackend.equals(signFront)){throws new ServiceErrorException("签名异常"); }
}相关文章：
Appscan扫出API成批分配问题解决方案
漏洞条件： 请求json参数不是接收参数的javabean及其父类中的任意属性。 意思就是：我javaben里面没有这个参数 你缺传递过来了 例如我只需要pageNum pageSize 你还传了role:admin 那么这样就有可能导致致特权升级、数据篡改、绕过安全机制 解决方案&am…...
STM32-笔记14-排队控制系统
一、项目需求 1. 红外传感器检测有人通过并计数； 2. 计数值显示在LCD1602 3. 允许通过时，LED1闪烁，蜂鸣器不响，继电器不闭合； 4. 不允许通过时，LED2闪烁，蜂鸣器响，继电器闭合&#…...
【时间之外】IT人求职和创业应知【80】-特殊日子
目录 北京冬季招聘会 OpenAI CEO炮轰马斯克 英伟达推出全新AI芯片B300 莫欢喜，总成空。本周必须要谨行慎言。 感谢所有打开这个页面的朋友。人生不如意，开越野车去撒野，会害了自己，不如提升自己。提升自己的捷径就是学习和思考…...
【GlobalMapper精品教程】090：合并多个面状图斑（以一个镇的多个村不动产宗地为例）
本文讲述在Globalmapper中，合并多个面状图斑的方法，以一个镇的多个村不动产宗地为例（假设一个镇的多个村的不动产宗地数据是分别存储在不同的村子矢量数据中，此时需要合并），点状和线状的操作方法类似。 文章目录 一、加载数据二、数据分析三、合并图斑四、注意事项一、加…...
ffmpeg之播放一个yuv视频
播放YUV视频的步骤 初始化SDL库： 目的：确保SDL库正确初始化，以便可以使用其窗口、渲染和事件处理功能。操作：调用 SDL_Init(SDL_INIT_VIDEO) 来初始化SDL的视频子系统。 创建窗口用于显示YUV视频： 目的：…...
在国产电脑上运行PDFSAM软件使用pdf分割合并交替混合处理pdf文档
软件下载地址: https://sourceforge.net/projects/pdfsam/files/ 需要注意事项，系统需要java环境，确认系统有java环境，根据软件版本需求安装对应的java运行环境。 下载pdfsam-4.3.4-linux.tar.gz安装包，解压，将runt…...
总结一下本次使用docker部署遇到的问题
1.Invalid bound statement (not found):异常 解决：原因是Dao层与动态Sql映射文件名字没有对应 2.element-plus的upload组件文件上传不成功 因为是直接请求后端不是统一的api前缀，所以nginx需要额外配置跨域 3.文件上传问题 描述：当时文…...
c#泛型学习
使用泛型的优点：使用泛型的好处包括类型安全、代码重用和性能优化。 在C#中，泛型是一种强大的工具，它允许你在编写类、接口、方法和委托时定义类型参数。这些类型参数在实例化泛型类型或调用泛型方法时被具体的类型所替代。 1. 泛型类 泛型…...
十二月第五周python
第一个程序，熟悉转换器，把加法计算器变成exe# // 1,制作加法计算器， # 输入两个数字得到相加结果并输出aint(input("输入数字："))#int()是把输入的内容转换成整数， bint(input("输入数字：&…...
Unity中如何修改Sprite的渲染网格
首先打开SpriteEditor 选择Custom OutLine,点击Genrate 则在图片边缘会出现边缘线，调整白色小方块可以调整边缘 调整后，Sprite就会按照调整后的网格渲染了。 如何在UI中使用？ 只要在UI的Image组件中选择Use Sprite Mesh 即可 结果࿱…...
修复OpenHarmony系统相机应用横屏拍照按钮点不到的问题
适配OpenHarmony系统相机应用横屏UI， 相关pr: https://gitee.com/openharmony/applications_camera/pulls/233/files 适配效果 如何安装 编译好的hap提供在附件中 1.预置在源码，随固件安装 2.安装hap hdc shell "mount -o remount,rw /"…...
keepass实现google自输入_SSH_TELNET_RDP联动
涉及到的是使用开源密码管理工具KeePass结合特定插件实现自动化密码填充的功能，特别是在谷歌浏览器中的应用。KeePass是一款强大的密码管理软件，它允许用户安全地存储各种账号的用户名和密码，并通过加密保护这些敏感信息。 1. keepass安装及配…...
电脑缺失sxs.dll文件要怎么解决？
一、文件丢失问题：以sxs.dll文件缺失为例 当你在运行某个程序时，如果系统提示“找不到sxs.dll文件”，这意味着你的系统中缺少了一个名为sxs.dll的动态链接库文件。sxs.dll文件通常与Microsoft的.NET Framework相关，是许多应用程序…...
Python实现机器学习驱动的智能医疗预测模型系统的示例代码框架
以下是一个使用Python实现机器学习驱动的智能医疗预测模型系统的示例代码框架。这个框架涵盖了数据收集（爬虫）、数据清洗和预处理、模型构建（决策树和神经网络）以及模型评估的主要步骤。 1. 数据收集（爬虫）…...
Vue3生态: 使用Vite进行高速开发
Vue3生态: 使用Vite进行高速开发 一、Vite概述 什么是Vite 法语意为 "快速"）是一个为现代浏览器原生开发提供服务的构建工具。它使用ES模块作为原生浏览器加载工具，利用浏览器去解析 import 的方式加载文件，极大地加快了应用的启动…...
Android MQTT关于断开连接disconnect报错原因
最近项目遇到一个需求，就是在登录状态的时候。才能接收到消息。所有我在上线，下线状态的时候。做了MQTT断开和连接的动作。然后就是发生了。我们标题的这关键点了。直接报错了。报错的内容如下： MqttAndroidClient unregisterRecevicer afte…...
YOLO11全解析：从原理到实战，全流程体验下一代目标检测
前言 一、模型介绍 二、网络结构 1.主干网络（Backbone） 2.颈部网络（Neck） 3.头部网络（Head） 三、算法改进 1.增强的特征提取 2.优化的效率和速度 3.更高的准确性与更少的参数 4.环境适应性强 5.…...
python中函数的用法总结（二阶段）
话接上回，继续讲下函数的用法 10. 函数的注解（Function Annotations） Python 3 引入了函数注解，允许你在函数定义时给参数和返回值添加注解。注解并不影响函数的实际行为，它们更多地用于代码的可读性、文档生成以及静…...
1082 射击比赛
本题目给出的射击比赛的规则非常简单，谁打的弹洞距离靶心最近，谁就是冠军；谁差得最远，谁就是菜鸟。本题给出一系列弹洞的平面坐标(x,y)，请你编写程序找出冠军和菜鸟。我们假设靶心在原点(0,0)。 输入格式：…...
模型工作流：自动化的模型内部三角面剔除
1. 关于自动减面 1.1 自动减面的重要性及现状 三维模型是游戏、三维家居设计、数字孪生、VR/AR等几乎所有三维软件的核心资产，模型的质量和性能从根本上决定了三维软件的画面效果和渲染性能。其中，模型减面工作是同时关乎质量和性能这两个要素的重要工…...
力扣题目解析--两数相除
题目 给你两个整数，被除数 dividend 和除数 divisor。将两数相除，要求 不使用 乘法、除法和取余运算。 整数除法应该向零截断，也就是截去（truncate）其小数部分。例如，8.345 将被截断为 8 ，-2.…...
Python PyMupdf 去除PDF文档中Watermark标识水印
通过PDF阅读或编辑工具，可在PDF中加入Watermark标识的PDF水印，如下图： 该类水印特点 这类型的水印，会在文件的字节流中出现/Watermark、EMC等标识，那么，我们可以通过改变文件字节内容，清理掉…...
嵌入式AI STM32部署卷积神经网络的魔法棒
基于STM32部署卷积神经网络控制设备方案-AI项目-STM32部署卷积神经网络方案-红外信号复制方案-轨迹识别 项目包含下述内容 硬件部分、PCB制板、BOM表文件等等 (Hardware)外壳、3D打印文件 (3D_print)软件程序、用于电子法棒的软件程序 AI Keil等等(Software)QT上位机动作识别…...
电路元件与电路基本定理
电流、电压和电功率 电流 1 定义： 带电质点的有序运动形成电流 。 单位时间内通过导体横截面的电量定义为电流强度， 简称电流，用符号 i 表示，其数学表达式为：（i单位：安培（A&#x…...
【蓝桥杯——物联网设计与开发】系列前言
前言 本系列博客是博主为准备2024年第十五届蓝桥杯大赛物联网设计与开发赛道而写，经过4个月学习备战，最终获得全国一等奖。 从第十六届蓝桥杯大赛开始，物联网赛道更换竞赛实训平台。之前的博客，可以借鉴代码思想，但引脚…...
Linux -- 从抢票逻辑理解线程互斥
目录 抢票逻辑代码： thread.hpp thread.cc 运行结果： 为什么票会抢为负数？ 概念前言 临界资源 临界区 原子性 数据不一致 为什么数据不一致？ 互斥 概念 pthread_mutex_init（初始化互斥锁） p…...
免费干净！付费软件的平替款！
今天给大家介绍一个非常好用的电脑录屏软件，完全没有广告界面，非常的干净简洁。 电脑录屏 无广告的录屏软件 这个软件不需要安装，打开就能看到界面直接使用了。 软件可以全屏录制，也可以自定义尺寸进行录制。 录制的声音选择也非…...
Mybatis插件better-mybatis-generator的下载与使用
1.下载 找到设置 插件 搜索better-mybatis-generator 下载并且重启IDEA 2.连接数据库 点击测试连接 连接成功如下图 3.使用插件 选择对应的表 右击选择 注意：mysql8.0驱动一定要勾上mysql_8 其他地方不要动 然后实体类 mapper xml就都生成好了 mapper里有默认增删…...
【测试】接口测试
长期更新好文，建议关注收藏！ 目录 接口规范接口测试用例设计postmanRequests 复习HTTP超文本传输协议 复习cookiesession 实现方式 1.工具 如postman ,JMeter（后者功能更全） 2.代码 pythonrequests / javahttpclient【高级】 接…...
靶机系列|VULNHUB|DC-2
免责声明： 笔记只是方便各位师傅学习知识，以下代码、网站只涉及学习内容，其他的都与本人无关，切莫逾越法律红线，否则后果自负。 泷羽sec官网：https://longyusec.com/ 泷羽sec B站地址：https://s…...
上手教程：使用Terraform打造弹性VPC架构
最近Akamai发布的虚拟专用云（VPC）功能提供了一种隔离的网络，让云资源可以用私密的方式进行通信。 关于Akamai VPC功能，最棒的地方在于它有着极高的灵活性。用户可以通过Cloud Manager、开发人员工具（如CLI）…...
详解VHDL如何编写Testbench
1.概述 仿真测试平台文件(Testbench)是可以用来验证所设计的硬件模型正确性的 VHDL模型，它为所测试的元件提供了激励信号，可以以波形的方式显示仿真结果或把测试结果存储到文件中。这里所说的激励信号可以直接集成在测试平台文件中，也可以从…...
Kafka为什么要放弃Zookeeper
1.Kafka简介 Apache Kafka最早是由Linkedin公司开发，后来捐献给了Apack基金会。 Kafka被官方定义为分布式流式处理平台，因为具备高吞吐、可持久化、可水平扩展等特性而被广泛使用。目前Kafka具体如下功能： 消息队列,Kafka具有系统解耦、流…...
python 渗透开发工具之SQLMapApi Server不同IP服务启动方式处理 解决方案SqlMapApiServer外网不能访问的情况
目录 说在前面 什么是 SQLMapAPI 说明 sqlmapApi能干什么 sqlmapApi 服务安装相关 kali-sqlmap存放位置 正常启动sqlmap-api server SqlMapApi-Server 解决外网不能访问情况 说在前面 什么是sqlmap 这个在前面已经说过了，如果这个不知道，就可以…...
go语言的成神之路-筑基篇-gin常用功能
第一节-gin参数绑定 目录 第一节-?gin参数绑定 ShouldBind简要概述 功能： 使用场景： 可能的错误： 实例代码 效果展示 第二节-gin文件上传 选择要上传的文件 选择要上传的文件。 效果展示? 代码部分 第三节-gin请求重定向 第…...
K8S中，pod的创建流程
kubelet创建pod流程 流程图 OCI（Open Container Initiative）是一个由docker社区发起的项目，Docker、containerd CNI（Container Network Interface）网络配置：为容器分配IP地址、配置网络接口、设置路由 C…...
Windows系统提示synsoacc.dll文件报错要怎么解决？
一、文件丢失问题：深度剖析与应对策略 文件丢失是电脑运行时常见的问题之一。它可能由多种原因引起，如硬盘故障、病毒攻击、不当的文件操作等。当Windows系统提示synsoacc.dll丢失时，通常意味着该文件对于当前正在运行的程序或系统服务至关重…...
【从0带做】基于Springboot3+Vue3的高校食堂点餐系统
大家好，我是武哥，最近给大家手撸了一个基于SpringBoot3Vue3的高校食堂点餐系统，可用于毕业设计、课程设计、练手学习，系统全部原创，如有遇到网上抄袭站长的，欢迎联系博主~ 项目演示视频和教程视频 https:…...
C语言-基因序列转换独热码（one-hot code）
1.题目要求 (语言: C)在生物信息学家处理基因序列时，经常需要将基因序列转化为独热码，在英文文献中称做 one-hot code, 直观来说就是有多少个状态就有多少比特，而且只有一个比特为1，其他全为0的一种码制。 如基因序列有四种状态&…...
 use credential helper)
git在idea中操作频繁出现让输入token或用户密码，可以使用凭证助手(使用git命令时输入的用户密码即可) use credential helper
1、打开 idea 设置，找到 git 路径 File | Settings | Version Control | Git 2、勾选 Use credential helper 即可...
《机器视觉：开启智能新时代》
《机器视觉：开启智能新时代》 一、机器视觉：工业之眼的崛起二、核心组件：构建精准视觉系统（一）光源：照亮视界的画笔（二）镜头：聚焦精准的慧眼（三）相…...
C#冒泡排序
一、冒泡排序基本原理 冒泡排序是一种简单的排序算法。它重复地走访要排序的数列，一次比较两个元素，如果它们的顺序错误就把它们交换过来。走访数列的工作是重复地进行直到没有再需要交换，也就是说该数列已经排序完成。 以一个简单的整数数…...
计算机网络习题（第1章 概论 第2章 数据通信基础）
第1章 概论 1、计算机网络 2、互联网 3、计算机网络体系结构 分层模型 OSI/RM 7层模型 TCP/IP 5层模型 协议、PDU、SDU、SAP等术语 数据封装（计算） 第2章 数据通信基础 1、数据通信系统组成 2、主要性能指标 数据传输速率 码元速率 时延 3…...
从0入门自主空中机器人-4-【PX4与Gazebo入门】
前言: 从上一篇的文章 从0入门自主空中机器人-3-【环境与常用软件安装】 | MGodmonkeyの世界 中我们的机载电脑已经安装了系统和常用的软件，这一篇文章中我们入门一下无人机常用的开源飞控PX4，以及ROS中无人机的仿真 1. PX4的安装 1.1 PX4固件代码的下载…...
百度热力图数据日期如何选择
目录 1、看日历2、看天气 根据研究内容定，一般如果研究城市活力的话，通常会写“非重大节假日，非重大活动，非极端天气等”。南方晴天不多，有小雨或者中雨都可认为没有影响，要不然在南方很难找到完全一周没有…...
深入理解 ElasticSearch 索引与检索原理
在当今数字化浪潮中，数据呈爆炸式增长，如何高效地从海量信息里找到所需内容成为关键。ElasticSearch 凭借其卓越的索引和检索能力脱颖而出，成为众多企业与开发者的得力工具。接下来，让我们深入剖析它的索引和检索工作原理。 一、…...
汽车CAN通信逻辑与LabVIEW开发
CAN通信的核心概念 CAN（Controller Area Network）是一种多主通信协议，广泛应用于汽车电子系统中，用于控制单元之间的高效通信。 消息优先级：每个CAN帧包含唯一的标识符（ID），ID的…...
OWASP~SQL注入
文章只做学习知识，禁止违法。 一、简介 SQL注入是一种Web应用代码中的漏洞。在工作中渗透测试工作时，使用工具扫描、手工注入和绕过WAF注入等找注入点，其中一层不变的构造特殊请求，使其与数据库SQL语句进行闭合。测试完成闭合时会…...
大数据-261 实时数仓 - 业务数据库表结构 交易订单、订单产品、产品分类、商家店铺、地域组织表
点一下关注吧！！！非常感谢！！持续更新！！！ Java篇开始了！ MyBatis 更新完毕目前开始更新 Spring，一起深入浅出！ 目前已经更新到了： H…...
大厂开发规范-如何规范的提交Git
多人协作开发提交代码通常是遵循约定式提交规范，如果严格安照约定式提交规范， 手动进行代码提交的话，那么是一件非常痛苦的事情，但是 Git 提交规范的处理又势在必行，那么怎么办呢？ 经过了很多人的冥思苦想…...