重用Spring Spel表达式实例安全吗？
重用Spring SpEL表达式实例在一定条件下是安全的，但需要注意一些潜在的安全风险。SpEL是Spring框架中的表达式语言，用于在运行时计算值或进行逻辑判断。
重用SpEL表达式实例的优势在于提高了性能和资源利用率，避免了频繁创建和销毁实例的开销。在多次使用相同的表达式时，可以考虑重用已经解析和编译过的表达式实例。
然而，重用SpEL表达式实例也存在一些潜在的安全风险。其中一个主要问题是在多线程环境下共享表达式实例可能导致并发访问的竞争条件。如果多个线程同时对同一个表达式实例进行求值，可能会导致数据不一致或意外结果。为了避免这种情况，可以考虑对共享的表达式实例进行同步控制或使用线程安全的实例。
另一个安全问题是表达式注入攻击。如果表达式中包含可控的用户输入，且该输入未经充分验证或处理，可能会导致恶意代码注入和执行。为了防止表达式注入攻击，应该对用户输入进行严格的验证和过滤，确保表达式中不包含任何恶意内容。
对于应用场景，重用SpEL表达式实例通常适用于相对稳定且高频使用的场景，例如权限控制、动态配置解析、规则引擎等。对于频繁变化或需要动态更新的场景，建议每次都创建新的表达式实例。
腾讯云提供了Serverless Cloud Function（SCF）服务，可以与Spring框架结合使用，通过编写函数来处理请求。该服务具有自动扩展、按量计费、高可用等优势。详细信息请参考腾讯云SCF官方文档：https://cloud.tencent.com/product/scf
相关·内容
我将在许多不同的对象上计算几个Spel表达式。 Spring文档极大地鼓励缓存SelEvaluationContext，但由于我每次都在不同的对象上使用表达式，所以我无法缓存它。但是，该表达式仅在第一次正确计算，但在第二次抛出异常。 我在下面的测试中重现了这个问题。代码按原样在第二次或第三次迭代时抛出异常。当我在每次迭代中取消对解析表达式的行的注释时，它工作得很好。如果我在创建解析器时不使用SpelCompilerMode.IMMEDIATE标志，那么它也可以工作，但这就失去了预先创建所
浏览 28提问于2021-02-04得票数 1
我如何在不让上下文将String属性解释为spel可解析值的情况下，将意味着是spel表达式的字符串注入到app context bean属性。<bean id="x" p:spelExpression="${#code}/${#value}"/>
我希望类的setter属性接受一个字符串参数，并创建一个可重用的SpelExpression作为bean的私有属性，但是，spring应用程序上下文似乎将#variableName识别为<
浏览 4提问于2011-07-13得票数 0
1回答
"#{variable}" Spring表达式语言SpEL值是否安全？我在网上找不到任何关于SpEL和的信息(只有JPA，这个项目没有使用)。
本文讨论视图中的SpEL漏洞，但不讨论数据库漏洞。Spring 2.6.1，Spring 1.5.6，Spring表达式4.3.10。
浏览 0提问于2018-05-10得票数 2
回答已采纳
当我使用Spring Security时，我发现了@PreAuthorize("hasAuthority('authority_name')") Spring Security如何检查@PreAuthorize
浏览 17提问于2021-08-30得票数 1
回答已采纳
目前，我正在使用spring安全和@PreAuthorize注释来保护方法调用。现在，我想要更改方法调用的身份验证令牌，就像spring security的所允许的那样。我可以在每个方法的基础上配置替换吗？每个注释，SpEL表达式....如果不是，是否有可能在runAsManager中计算出调用的是什么方法？我到底该如何配置安全对象的安全配置属性呢？
浏览 0提问于2012-07-26得票数 7
回答已采纳
1回答
我正在尝试用一个自定义的@Query注释来注释一个Spring Data Repository findAll()方法。我想在where子句中使用Spring Security hasPermission()表达式。我已经初始化了SecurityEvaluationContextExtension bean，以允许在SpEL中使用常见的内置安全表达式。at org.springframework.expression.spel.ast.Ternary.getValueI
浏览 12提问于2018-03-02得票数 6
我正在寻找一种方法来扩展Spring Security表达式，以支持现有的安全基础设施。我知道您可以像那样扩展MethodSecurityExpressionRoot，但我也发现可以通过Spring Expression Language (Spring或SpEL)直接调用静态方法。不幸的是，Spring上的表达式方法并没有直接描述如何做到这一点。
如何通过Spring表达式方法调用静态方法？
浏览 1提问于2011-09-28得票数 40
回答已采纳
我们正在将我们的应用程序从Spring2.5更新到3.0的过程中，我们遇到了一个关于bean属性的新SpEL评估的问题。我们已经在一个模块中使用了内部模板语法，不幸的是，该模块使用了与SpEL相同的"#{xyz}“标记。我们有一些bean将包含这些表达式的字符串作为属性，但是spring假定它们是SpEL表达式，并在尝试实例化bean时抛出SpelEvaluationException。com.foo.TemplatingEngine&quo
浏览 0提问于2010-12-17得票数 5
您知道如何使用Spring内部Spel表达式解析器来解析包含Spring Application上下文的bean引用的字符串吗？我正在寻找一种直接使用Spring内部Spel表达式解析器绑定到整个Spring应用程序上下文的解决方案。其思想是使用字符串模板，该模板具有与@Value SPEL注释相同的功能。
浏览 1提问于2017-03-01得票数 3
1回答
我有一个Kafka侦听器，在这个侦听器中，我用SpEL (Spring表达式)设置组id，以便为每个运行/实例生成随机生成的唯一id。我需要获取这个组id，以便进行日志记录和监视。有什么建议吗？
浏览 3提问于2022-03-20得票数 0
回答已采纳
1回答
我有一个实体，其中的一个属性使用了自定义类型：public class Person { private Long id;
private Username username;Username有一个转换器，可以在字符串和字符串之间来回转换：public class UsernameConverter implements AttributeConverter<Username, String> {}
在我的JPA存储库中，有一些按用
浏览 9提问于2019-11-13得票数 1
使用Spring Initializer、嵌入式Tomcat、Thymeleaf模板引擎，并打包为可执行的JAR文件。
浏览 1提问于2017-05-14得票数 25
回答已采纳
我试图根据用户在组中的角色，找到授权用户某些操作的最佳方法。。(for (GroupUser groupuser: user.getGroupUsers()) {
浏览 2提问于2020-06-20得票数 3
回答已采纳
请您指出maven依赖项以添加SpEL - Spring表达式语言--作为ScriptEngine到我的项目中--在Spring中有吗？)我找到了一些例子：
但我想以一种maven依赖的形式。
浏览 5提问于2016-10-16得票数 0
回答已采纳
它在JVM中可以正常工作，但是在运行本机映像时，我会在安全SpEL评估中得到一个NPE。userRepo.save(grantedUser);
}
知道为什么token在本地映像中是空的吗？
浏览 8提问于2022-01-24得票数 0
如何以编程方式(不使用标记、注释或...)解析spring (web)安全表达式(如hasRole('admin') )？()org.springframework.expression.spel.SpelEvaluationException: EL1011E:(pos
浏览 1提问于2014-01-31得票数 4
长话短说：
是否有一种方法可以将${my.property}产生的字符串解释为@Value注释中的SpEL表达式，而无需使用转换器，例如@Value("#{${my.property}})？不幸的是，情况并非如此，加载Spring上下文会导致一个错误，即它不能将字符串(属性值${my.property})转换为目标类型Product。现在，我通过编写一个实现Converter<String, Product>的类来解决这个问题，但是它非常复杂，因为我需要在那里通过实例化ExpressionParser
浏览 4提问于2017-09-28得票数 2
回答已采纳
巧尽心思构建的SpEL表达式..。
对于使用无限制的CVE-2022-22950 Eva
浏览 7提问于2022-04-11得票数 0
回答已采纳
我使用org.springframework.expression.spel.standard.SpelExpressionParser解析一个String表达式，但是当我将sin(90)添加到这个表达式时知道怎么解决这个问题吗？
浏览 3提问于2016-06-07得票数 0
回答已采纳
我试图以编程方式计算用SpEL编写的一些表达式。我试图评估这个表达式：#authorities.isEmpty()。(MethodReference.java:225) ~[spring-expression-5.1.2.RELEASE.jar:5.1.2.RELEASE]
at org.springframework.expression.spel.ast.MethodReference.getValueInternal(MethodReference.java:134) ~[sprin
浏览 1提问于2018-11-11得票数 2
回答已采纳
云服务器
ICP备案
实时音视频
云直播
对象存储
腾讯云开发者
