在线教育平台的安全建设不能只停留在“加一个过滤器”“写一个脱敏工具类”。真实业务里课程富文本、后台导出、动态查询、企业数据隔离、登录认证、操作留痕会交织在同一条请求链路中。任何一个环节把用户输入当成可信数据都可能扩大攻击面。织码在线教育系统采用分层防御思路将安全能力沉淀为统一组件网关与响应头负责入口约束Controller/AOP 负责入参治理Service 负责权限边界Mapper 负责安全 SQL审计模块负责可追溯留痕。一、安全设计目标从漏洞修补到请求链路治理安全模块的设计目标可以归纳为四点输入不可信所有来自浏览器、App、第三方回调、导入文件的数据都必须经过校验、清洗或白名单转换。权限不隐含登录成功只代表身份可信不代表用户可以访问所有课程、订单、企业和学员数据。敏感信息不明文密码、Token、手机号、证件号、密钥类字段不能在日志、异常、缓存、导出文件中裸露。关键行为可追溯高风险操作必须能还原操作者、目标资源、执行结果和请求上下文。二、XSS 防护按上下文治理输入与输出课程详情、讲师介绍、公告内容通常需要富文本能力这也是 XSS 最容易被忽略的区域。系统将输入场景拆成两类输入类型示例字段处理策略纯文本用户名、课程标题、备注Safelist.none()去除标签再做 HTML 实体编码富文本课程详情、图文内容、公告Jsoup 白名单保留安全标签限制href/src协议Around(annotation(xssClean))publicObjectaround(ProceedingJoinPointjoinPoint,XssCleanxssClean)throwsThrowable{Object[]argsjoinPoint.getArgs();for(inti0;iargs.length;i){args[i]sanitizeObject(args[i],xssClean.richText());}returnjoinPoint.proceed(args);}privateObjectsanitizeObject(Objectarg,booleanrichText){if(arginstanceofStringtext){returnrichText?XssSanitizer.cleanRichText(text):XssSanitizer.cleanText(text);}if(arginstanceofCollection?list){returnlist.stream().map(item-sanitizeObject(item,richText)).toList();}returnBeanXssCleaner.clean(arg,richText);}相比只拦截String参数递归处理 DTO、集合和嵌套对象更适合真实后台接口。否则RequestBody CourseDTO中的description、content等字段可能绕过清洗。CSP 策略建议从宽到严逐步收敛。初期可先启用Content-Security-Policy-Report-Only收集违规上报再切换为强制策略。生产环境应避免长期依赖unsafe-inline可通过 nonce/hash 机制约束脚本来源。三、SQL注入防御区分“值参数”和“结构参数”SQL 注入的本质是用户输入改变了 SQL 语义。参数化查询可以保护值参数例如关键词、状态、时间范围但排序字段、表字段、聚合字段、数据权限片段属于 SQL 结构不能直接绑定为?必须通过后端白名单转换。publicPageCoursesearchCourses(CourseSearchDTOdto,LoginUseruser){LambdaQueryWrapperCoursewrapperWrappers.lambdaQuery();wrapper.like(StrUtil.isNotBlank(dto.getKeyword()),Course::getTitle,dto.getKeyword()).eq(dto.getStatus()!null,Course::getStatus,dto.getStatus()).eq(Course::getTenantId,user.getTenantId());SortSpecsortSortSpec.of(course,dto.getSortField(),dto.getSortDirection());wrapper.last(sort.toOrderBySql());// 输出来自白名单不拼接原始入参dataScopeService.applyCourseScope(wrapper,user);returncourseMapper.selectPage(Page.of(dto.getPage(),dto.getSize()),wrapper);}工程上建议把排序字段、导出字段、报表维度封装成枚举或配置表由后端把前端传入的逻辑名映射为真实列名。这样即使前端参数被篡改也只会回退到默认排序而不会进入 SQL 结构。四、认证、密码与敏感数据传输安全不等于存储安全系统使用 RSA 公钥加密登录密码降低明文密码在浏览器请求、代理链路和调试工具中暴露的概率。但 RSA 解密后的明文只应存在于认证方法的局部变量中不能写日志、不能入库、不能进入异步消息。密码存储应使用不可逆慢哈希BeanpublicPasswordEncoderpasswordEncoder(){returnnewBCryptPasswordEncoder(12);}publicvoidregister(RegisterDTOdto){StringrawPasswordrsaPasswordService.decrypt(dto.getPassword());user.setPassword(passwordEncoder.encode(rawPassword));userMapper.insert(user);}对于手机号、邮箱、证件号等字段应按使用场景选择策略数据类型存储建议展示建议查询建议密码BCrypt/Argon2 慢哈希永不展示不支持明文查询手机号可加密存储或字段级脱敏138****1234需要精确查找时使用哈希索引Token/密钥加密存储短周期轮换永不展示完整值按摘要定位操作参数脱敏后写日志仅审计角色可见按模块、用户、时间检索五、权限边界RBAC 之外还要有数据范围后台系统常见误区是只判断“用户是否有菜单权限”。在在线教育场景中同样拥有“课程管理”权限的运营人员可能只能管理自己机构、校区或租户下的数据。因此系统需要同时判断功能权限能不能访问这个接口。数据权限能不能访问这条记录。操作权限能不能对该记录执行删除、导出、上下架等动作。publicvoiddeleteCourse(LongcourseId,LoginUseruser){CoursecoursecourseMapper.selectById(courseId);if(coursenull)thrownewBizException(课程不存在);if(!Objects.equals(course.getTenantId(),user.getTenantId())){thrownewForbiddenException(无权访问该课程);}permissionService.check(user,course:delete);courseMapper.deleteById(courseId);}权限校验应尽量靠近业务动作而不是只依赖前端按钮隐藏。前端隐藏按钮只能改善体验不能构成安全边界。六、操作审计从“记录日志”升级为“证据链”操作审计的价值不是简单记录一段请求参数而是形成完整证据链。建议把审计日志拆成稳定字段和扩展字段稳定字段用于检索扩展字段用于问题复盘。CREATETABLEsys_log(idbigintPRIMARYKEYAUTO_INCREMENT,trace_idvarchar(64)NOTNULL,user_idbigint,usernamevarchar(50),tenant_idbigint,modulevarchar(50)NOTNULL,actionvarchar(100)NOTNULL,target_idbigint,request_methodvarchar(10)NOTNULL,request_urlvarchar(500)NOTNULL,request_paramstext,response_statusint,error_msgvarchar(1000),ipvarchar(50)NOTNULL,user_agentvarchar(500),execute_timeint,create_timedatetimeNOTNULL,KEYidx_user_time(user_id,create_time),KEYidx_module_action(module,action),KEYidx_trace_id(trace_id));审计切面建议放在业务方法外层确保成功、失败、异常都能留痕。写入方式可以采用异步队列避免审计落库影响核心接口响应但高风险操作如权限变更、订单退款、批量删除需要保证审计事件至少投递成功。七、落地建议把安全能力做成默认能力真正可靠的安全体系不依赖每个开发者“记得写某段代码”而是通过框架默认能力降低遗漏概率新增后台接口默认经过认证、鉴权、参数校验和审计。DTO 字段使用 Bean Validation 表达输入边界。富文本字段必须显式标注走独立白名单。所有动态 SQL 结构参数必须来自枚举、白名单或后端配置。日志组件默认脱敏禁止记录明文密码、Token 和密钥。关键操作必须带trace_id便于串联网关日志、应用日志和审计日志。八、总结织码在线教育系统的安全防护体系本质上是围绕“请求从哪里来、能做什么、访问哪些数据、留下什么证据”进行工程化治理。XSS、SQL注入、密码安全和操作审计只是四个典型切面背后的共同原则是最小权限、默认不信任、敏感数据最少暴露以及关键行为可追溯。对于需要私有化部署、企业培训和多租户管理的教育平台来说这套安全能力不仅能降低漏洞风险也能支撑后续的合规审计、客户交付和长期运维。如需私有化部署报价、远程产品演示可访问官网 https://www.weavecodes.com/ 私信作者领取企业落地案例。切面背后的共同原则是最小权限、默认不信任、敏感数据最少暴露以及关键行为可追溯。对于需要私有化部署、企业培训和多租户管理的教育平台来说这套安全能力不仅能降低漏洞风险也能支撑后续的合规审计、客户交付和长期运维。如需私有化部署报价、远程产品演示可访问官网 https://www.weavecodes.com/ 私信作者领取企业落地案例。