JeecgBoot框架SRC高频漏洞分析总结

JeecgBoot作为基于Spring Boot、MyBatis Plus构建的企业级低代码开发平台，凭借其高效的代码生成能力、丰富的内置模块，被广泛应用于OA、ERP、人事管理等各类企业级系统开发。然而，在SRC（安全响应中心）的漏洞收录数据中，JeecgBoot框架因自身配置缺陷、组件依赖漏洞及开发规范缺失等问题，频繁出现各类安全漏洞。本文将针对SRC中高频爆发的JeecgBoot相关漏洞进行深度剖析，梳理漏洞成因、攻击路径，并给出针对性的防御策略，为企业安全建设提供参考。

一、高频漏洞类型梳理与技术分析

结合SRC漏洞收录数据及公开安全报告，JeecgBoot框架的高频漏洞主要集中在权限控制、注入攻击、组件漏洞三大类别，其中权限绕过、SQL注入及积木报表（JimuReport）相关漏洞占比超70%，成为攻击者的主要攻击目标。

（一）权限绕过漏洞：最频发的核心风险点

权限绕过是JeecgBoot框架在SRC中出现频次最高的漏洞类型，其中以CVE-2025-15124授权绕过漏洞及JimuReport组件权限绕过漏洞最为典型，此类漏洞多因权限校验逻辑不严谨、接口防护缺失导致。

1. 漏洞原理剖析

JeecgBoot默认集成Apache Shiro或Spring Security作为权限控制框架，核心防护依赖@RequiresPermissions（Shiro）、@PreAuthorize（Spring Security）等注解及全局权限拦截器。但在实际应用中，存在三类典型缺陷：一是敏感接口未添加权限注解，仅依赖前端按钮隐藏实现“伪防护”，后端未进行二次校验；二是权限拦截器配置不完整，对特定路由（如/jmreport/*）的校验逻辑存在漏洞，攻击者可通过构造请求参数使校验函数提前返回true，绕过token验证；三是核心权限参数校验缺失，如CVE-2025-15124漏洞中，系统未对departId参数进行用户归属校验，攻击者可通过篡改该参数越权访问其他部门数据。

2. 典型攻击路径

以JimuReport组件权限绕过漏洞为例，攻击者可利用JimuReportTokenInterceptor拦截器的逻辑缺陷，通过访问包含/jmreport/shareView/的路由，或利用JimuNoLoginRequired注解标注的免登录接口，直接绕过token校验；对于CVE-2025-15124漏洞，攻击者无需登录即可通过构造POST请求，在/sys/sysDepartPermission/list等接口中篡改departId参数，实现对任意部门数据的查看、导出甚至修改。

3. 漏洞危害

权限绕过漏洞可使攻击者在无合法权限的情况下，直接获取系统敏感数据（如用户账号密码、企业核心业务数据），甚至执行后台管理操作，引发数据泄露、业务紊乱等严重后果。尤其在政府、金融等敏感行业，此类漏洞可能导致重大信息安全事件。

（二）SQL注入漏洞：低代码特性带来的固有风险

作为低代码平台，JeecgBoot提供了在线表单设计、动态SQL查询等功能，但其动态SQL拼接逻辑未进行严格的输入校验，导致SQL注入漏洞成为高频风险点，典型漏洞集中在/onlDragDatasetHead/getTotalData、/jmreport/qurestSql等接口。

1. 漏洞原理剖析

此类漏洞的核心成因是输入验证不充分与动态SQL拼接的结合：一是系统对用户传入的fieldName、query等参数仅进行简单的字符过滤，未实现白名单校验，攻击者可通过构造特殊字符绕过过滤规则；二是为实现灵活的查询功能，框架直接将用户输入拼接到SQL语句中，未使用MyBatis Plus的参数化查询机制，导致恶意SQL语句被直接执行。例如在/onlDragDatasetHead/getTotalData接口中，即使v3.7.2版本增加了字段合法性检查，攻击者仍可通过构造多字段名拼接的方式绕过防护，注入恶意代码。

2. 典型攻击路径

攻击者通过POST请求访问存在漏洞的动态查询接口，在请求体中构造包含SQL注入 payload的参数（如fieldName: "id,username;(SELECT GROUP_CONCAT(password) FROM sys_user)--"），系统将拼接后的SQL语句直接执行，从而获取数据库敏感信息，甚至通过写入恶意数据篡改业务逻辑。

（三）组件依赖漏洞：第三方组件成为安全短板

JeecgBoot集成了JimuReport、Fastjson、AviatorScript等多个第三方组件，这些组件的已知漏洞成为JeecgBoot框架的重要安全隐患，其中JimuReport组件的漏洞最为突出，在SRC中相关漏洞收录量占组件漏洞总数的60%以上。

1. 典型组件漏洞分析

一是JimuReport组件漏洞：JimuReport 1.7.8及之前版本存在多重风险，除权限绕过外，还存在FreeMarker SSTI模板注入（/jmreport/loadTableData接口）及AviatorScript表达式注入漏洞，攻击者可通过构造恶意模板或表达式，执行远程命令；二是Fastjson反序列化漏洞：老版本JeecgBoot依赖的Fastjson存在JNDI注入风险，攻击者可通过发送包含恶意JSON payload的请求，加载远程恶意类实现RCE；三是依赖库漏洞：如Thymeleaf模板注入、Log4j2远程代码执行等，此类漏洞多因框架未及时跟进组件安全更新导致。

2. 漏洞传播与利用特点

组件漏洞的利用门槛较低，攻击者可直接使用公开的POC（证明概念）代码发起攻击。例如JimuReport的权限绕过+表达式注入漏洞，POC公开后短时间内便出现大量在野攻击尝试，无需复杂的攻击构造即可实现远程代码执行。

二、漏洞高发成因总结

JeecgBoot框架高频漏洞的爆发，并非单一因素导致，而是框架设计特性、开发配置规范及运维管理机制等多方面问题的叠加：

低代码特性的固有缺陷：为提升开发效率，框架支持动态SQL、灵活表单配置等功能，不可避免地增加了输入校验的复杂度，若开发人员未严格遵循安全规范，极易引入注入类漏洞；
权限控制设计不严谨：核心权限校验依赖注解而非强制拦截，存在“漏配即失守”的风险，且对第三方组件（如JimuReport）的权限集成存在逻辑漏洞；
组件更新滞后：框架对第三方组件的安全补丁跟进不及时，大量用户仍使用存在已知漏洞的旧版本组件，形成广泛的攻击面；
开发与运维规范缺失：部分企业在基于JeecgBoot二次开发时，未执行安全编码规范，如忽略参数校验、使用弱密钥等，进一步放大了框架本身的安全风险。

三、针对性防御策略与最佳实践

结合漏洞成因及攻击路径，建议从框架配置加固、开发规范约束、组件生命周期管理、安全监测四个维度构建防御体系，实现全生命周期的安全防护。

（一）权限控制体系加固

1. 完善权限校验机制：所有敏感接口必须添加@RequiresPermissions或@PreAuthorize注解，严禁仅依赖前端控制权限；对/sys/*、/jmreport/*等核心路由，配置全局权限拦截器，确保无遗漏校验。示例代码如下：

// Shiro权限注解示例
@RequiresPermissions("user:read")
@RequestMapping("/sys/user/list")
public List<SysUser> getUserList() {
    return userService.list();
}

// 全局权限拦截器配置
@Component
public class GlobalPermissionInterceptor implements HandlerInterceptor {
    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
        // 校验当前用户是否具备访问当前接口的权限
        if (!hasPermission(request)) {
            response.sendError(HttpStatus.FORBIDDEN.value(), "无权限访问");
            return false;
        }
        return true;
    }
}

2. 强化核心参数校验：对departId、userId等权限关联参数，实施服务端强校验，确保参数值与当前登录用户的角色、部门归属一致，禁止直接信任前端传入的参数。

3. 规范异常处理：配置全局异常处理器，统一处理权限校验失败（如AuthorizationException）的场景，避免返回敏感的堆栈信息，防止攻击者通过错误信息推断系统权限结构。

（二）注入攻击防护

1. 严格执行参数校验：采用白名单机制限制用户输入，对动态SQL查询的字段名、表名等参数，仅允许预定义的合法值通过，示例如下：

// 字段名白名单校验示例
private static final Set<String> LEGAL_FIELDS = new HashSet<>(Arrays.asList("id", "username", "deptName"));
public boolean validateFieldName(String fieldName) {
    return LEGAL_FIELDS.contains(fieldName);
}

2. 禁止动态SQL拼接：全面使用MyBatis Plus的参数化查询功能，通过#{}占位符接收用户输入，替代${}直接拼接的方式；对必须使用动态表名/字段名的场景，采用预定义映射关系规避注入风险。

3. 启用框架安全模式：将JeecgBoot的低代码模式配置为prod（生产模式），启用严格的白名单校验，禁止自动添加未授权的表和字段，直接拒绝非法请求。

（三）组件漏洞生命周期管理

1. 及时升级框架与组件：定期查看JeecgBoot官方公告及GitHub仓库，将框架升级至最新稳定版本（如权限绕过漏洞修复的v3.8.0、SQL注入修复的v3.7.2等）；对JimuReport、Fastjson等第三方组件，建立版本台账，及时应用安全补丁。

2. 组件漏洞自查：使用依赖扫描工具（如Dependency-Check）定期检测项目依赖，识别存在已知漏洞的组件；针对高风险组件（如JimuReport），可通过禁用不必要的功能模块（如免登录分享、动态模板编辑）降低攻击面。

（四）安全监测与应急响应

1. 建立日志审计机制：对敏感接口访问、权限变更、数据库操作等行为记录详细日志，包含请求IP、用户身份、操作参数等信息，便于异常行为追溯。

2. 实施动态监测：部署Web应用防火墙（WAF）拦截常见攻击 payload（如SQL注入关键词、恶意表达式）；使用自动化渗透测试工具（如OWASP ZAP）定期扫描系统，验证防护措施有效性。

3. 制定应急响应流程：针对SRC披露的JeecgBoot相关漏洞，建立快速响应机制，明确漏洞验证、修复、回归测试的时间节点，确保高危漏洞在24小时内完成闭环。

四、总结

JeecgBoot框架的高频漏洞暴露了低代码平台在安全与效率平衡上的普遍难题，权限绕过、SQL注入等核心漏洞多源于基础配置缺陷与开发规范缺失。企业在享受低代码开发便利的同时，必须重视安全建设的基础工作：通过加固权限控制、规范参数校验、强化组件管理构建纵深防御体系，同时建立常态化的安全监测与应急响应机制。只有将安全理念融入开发、运维全生命周期，才能有效降低漏洞被利用的风险，保障企业级系统的安全稳定运行。