Ein einziges jdbc.query("... WHERE email = '" + email + "'") oder ein einziges new ObjectInputStream(request.getInputStream()) genügt, um Ihre Daten oder die Kontrolle über Ihren Server zu verlieren. Dieser Skill findet diese und elf weitere Sicherheitsfehler in Java vor dem Deployment und erklärt, wie Sie jeden davon beheben.

Ihr Agent führt einen Scanner für Ihre .java-Dateien aus. Er überspringt Kommentare, Tests und generierten Code, versteht Zeichenfolgen, Textblöcke und Verkettungen, verfolgt in Variablen oder einem StringBuilder zusammengesetztes SQL bis zum ausführenden Aufruf und erkennt Werte aus Anfragen (getParameter, @RequestParam, @PathVariable, JAX-RS-Parameter, Namen hochgeladener Dateien). Er kennt sichere Muster: ?- und :name-Platzhalter, Konstanten und Zahlen, nCopies-Platzhalterlisten, anhand einer Freigabeliste geprüfte Sortierspalten, ObjectInputFilter, disallow-doctype-decl, SecureRandom sowie normalize() mit startsWith. Der Scanner kompiliert oder startet Java niemals. Er gibt BLOCK, REVIEW oder NOT FLAGGED mit Datei, Zeile, Begründung und einem sichereren Vorgehen zurück. Geheime Werte werden niemals ausgegeben.

Was geprüft wird

BLOCK (vor der Veröffentlichung beheben)

• J01: mit +, String.format oder StringBuilder zusammengesetztes und über JDBC, JdbcTemplate, JdbcClient, JPA oder Hibernate ausgeführtes SQL oder JPQL sowie ${} in MyBatis-Annotationen

• J02: Runtime.exec oder ProcessBuilder mit sh -c und einer veränderlichen Anweisung, einer aus einem Wert zusammengesetzten Befehlszeichenfolge oder einem Programmnamen aus der Anfrage

• J03: ObjectInputStream ohne Filter, SerializationUtils.deserialize, XMLDecoder, Freigabe beliebiger Typen in XStream, Jackson Default Typing oder Id.CLASS für Object-Felder, SnakeYAML mit Zulassung sämtlicher Tags

• J04: fest hinterlegte Passwörter, API-Schlüssel, Tokens, JWT- und HMAC-Schlüssel, @Value-Standardwerte und Passwörter in JDBC-URLs

• J05: ohne Signatur akzeptierte JWTs (Algorithm.none(), parseClaimsJwt, unsecured()) oder dekodierte JWTs, die nie verifiziert werden

REVIEW (vor dem Release prüfen)

• J11: XML-Parser (JAXP, dom4j, JDOM) ohne Deaktivierung von DTDs oder externen Entitäten (XXE)

• J12: XStream ohne Freigabeliste und SnakeYAML new Yaml() ohne SafeConstructor

• J13: DES, Triple-DES, RC4, Blowfish, ECB-Modus und Cipher.getInstance("AES")

• J14: MD5 oder SHA für Passwörter sowie NoOpPasswordEncoder oder andere schwache Spring-Encoder

• J15: java.util.Random, Math.random(), ThreadLocalRandom oder RandomStringUtils für Tokens, Einmalpasswörter und Rücksetzcodes

• J16: TrustManager und Hostnamenprüfer, die alles akzeptieren, NoopHostnameVerifier, TrustSelfSignedStrategy

• J17: Dateipfade aus der Anfrage in new File, Paths.get, resolve oder FileSystemResource

• J18: in Protokolle geschriebene Passwörter, Tokens und der Authorization-Header

Lieferumfang

• Der Scanner (Python 3.9+, ausschließlich Standardbibliothek)

• Ein Regelhandbuch mit Begründung und sichererem Vorgehen für jede Regel

• Ein unsicheres und ein sicheres Spring-Boot-Beispiel sowie der tatsächliche Scannerbericht zum unsicheren Beispiel

Einschränkungen

Der Code wird als Text analysiert, ohne Java-Compiler: Typen sind nicht bekannt und Werte werden innerhalb einer Datei nachverfolgt. application.properties und application.yml, Abhängigkeiten und bekannte CVEs sowie Kotlin- und JSP-Dateien werden nicht geprüft. NOT FLAGGED ist keine Sicherheitsgarantie.

Inhalt

Ein ZIP-Archiv mit 20 Dateien: SKILL.md, der Scanner unter scripts/ (5 Python-Dateien), references/rules.md (jede Regel mit Begründung und sichererem Vorgehen) und examples/ (12 Beispieldateien sowie report.md, die tatsächliche Scannerausgabe zum unsicheren Beispiel).

Verwendung: Dies ist ein Agenten-Skill: ein Ordner mit einer SKILL.md-Datei und Python-Skripten, die ein KI-Programmieragent wie Claude Code, Cursor oder Codex CLI ausführen kann. Entpacken Sie das Archiv in den Skills-Ordner Ihres Agenten (für Claude Code: ~/.claude/skills/) und bitten Sie Ihren Agenten, Ihr Projekt zu prüfen. Die Skripte lassen sich auch eigenständig mit Python 3.9 oder neuer ausführen, ohne zusätzliche Installation. Sie lesen ausschließlich Ihre Dateien: kein Netzwerkzugriff und keine Datenübertragung.