Struts 规范要求每当指定操作返回验证错误时都提供 input 属性[2]。input 属性指定发生验证错误时用于显示错误消息的页面。
示例 1：以下配置定义指定验证操作，但未指定 input 属性。

<action-mappings>
  <action   path="/Login"
            type="com.LoginAction"
            name="LoginForm"
            scope="request"
            validate="true" />
</action-mappings>

<exception> 标签要求定义异常类型。缺少 type 属性或属性为空表示异常句柄多余或意外遗漏。如果开发人员有意处理异常但忘记定义异常类型，则应用程序可能会泄漏有关系统的敏感信息。
示例 1：以下配置忽略 <exception> 标签类型。

  <global-exceptions>
    <exception
      key="error.key"
      handler="com.mybank.ExceptionHandler"/>
  </global-exceptions>

Struts 使用 form-bean 条目将 HTML 表单映射到操作。如果 <action> 标签的 name 属性与 form-bean 的名称不符，则无法映射操作，表示存在多余的定义或印刷错误。

示例 1：以下配置不含 bean2 映射。

<form-beans>
  <form-bean name="bean1" type="coreservlets.UserFormBean" />
</form-beans>

<action-mappings>
  <action path="/actions/register1" type="coreservlets.RegisterAction1" name="bean1" scope="request" />
  <action path="/actions/register2" type="coreservlets.RegisterAction2" name="bean2" scope="request" />
</action-mappings>

Struts 使用 form-bean 名称将 HTML 表单映射到操作。如果 form-bean 无名称，则无法映射到操作，同时表示存在多余的定义或意外省略 Bean。
以下是一个适当的 form-bean 示例：
示例 1：以下 form-bean 包含空 name 属性。

<form-beans>
  <form-bean name="" type="org.apache.struts.validator.DynaValidatorForm">
    <form-property name="name" type="java.lang.String" />
    <form-property name="password" type="java.lang.String" />
  </form-bean>
</form-beans>

Struts 使用 form-bean 条目将 HTML 表单映射到操作。如果 form-bean 无类型，则无法映射到操作。
示例 1：以下 form-bean 包含空 type 属性。

<form-beans>
  <form-bean name="loginForm" type="">
    <form-property name="name" type="java.lang.String" />
    <form-property name="password" type="java.lang.String" />
  </form-bean>
</form-beans>

Struts 要求 <form-property> 标签包含 type 属性。Struts 在处理定义不含类型的 form-property 的表单时抛出异常。

示例 1：以下配置忽略 name 属性类型。

<form-bean name="loginForm" type="org.apache.struts.validator.DynaValidatorForm">
  <form-property name="name" />
  <form-property name="password" type="java.lang.String" />
</form-bean>

<forward> 标签必须包含 name 和 path 属性。若无名称，将永远不会使用 forward。

示例 1：以下 <forward> 标签包含空 name 属性。

    <forward name="" path="/results.jsp"/>

<forward> 标签必须包含 name 和 path 属性。忽略路径或指定空白路径会导致错误。此外，所有路径必须以“/”字符开头。

示例 1：以下 <forward> 标签缺少 path 属性。

    <forward name="success" />

如果启用 display_errors 选项，Web 中会显示发生的错误，这些错误会向攻击者明示系统的薄弱之处。例如，一个数据库错误消息可以揭示应用程序容易受到 SQL Injection 攻击。其他的错误消息可以揭示有关该系统的更多间接线索。

如果启用 expose_php 选项，那么由 PHP 解释器生成的每个响应都会包含主机系统上所安装的 PHP 版本。了解到远程服务器上运行的 PHP 版本后，攻击者就能针对系统枚举已知的盗取手段，从而大大增加成功发动攻击的机会。

当 LLM API 在资源使用方面没有得到充分的速率限制、节流或其他限制时，就会出现无限制消耗。这可能包括过多的模型推理请求、无限制的查询大小或长时间运行的进程，这些都会给托管模型的服务器带来过度压力，导致延迟、中断甚至完全失去服务。

当 LLM API 未得到适当控制时，攻击者可以通过发送大量请求、大型数据查询或消耗资源的复杂任务来滥用系统。在多租户系统中，这个问题可能会变得更加严重，因为一个用户或进程的过度消耗会影响其他用户或进程，从而导致潜在的性能瓶颈或系统停机。
此外，当攻击者通过发起大量请求来利用基于云的 AI 服务的按使用量付费模型时，就会发生 Denial of Wallet (DoW) 攻击，这会给提供商带来难以承受的财务负担。这可能会导致提供商陷入财务困境，因为处理过多请求的成本变得难以控制。

示例 1：用户向 LLM API 提交一系列大型文本生成请求，但没有设置任何超时，这使得请求可以无限期地运行。这会导致系统处理过多的数据，耗尽可用的服务器资源。

import openai

# OpenAI GPT model setup
openai.api_key = "your-api-key"

def generate_large_response(prompt):
  response = openai.Completion.create(
      engine="text-davinci-003",
      prompt=prompt,
      max_tokens=1000
  )
  return response

# Submitting unbounded requests with high complexity and token count
prompt = "Generate an extensive article on AI."
response = generate_large_response(prompt)
print(response)

示例 2：当与 LLM 模型交互时，在没有配置 rate_limiter 参数的情况下使用聊天模型。

from langchain_anthropic import ChatAnthropic
model = ChatAnthropic(
	model_name="claude-3-opus-20240229",
# not using rate_limiter
)

这些示例展示了缺乏超时设置的无限制 API 调用将如何消耗大量资源。如果没有执行时间的限制，系统可能会超载。这会对服务的稳定性产生负面影响，并可能导致资源耗尽或拒绝服务风险。

若服务不验证其客户端，则所有访问者都能访问其功能。

若服务不验证其客户端，则所有访问者都能访问其功能。

可以将 Windows Communication Framework (WCF) 服务配置为公开调试信息。不应在生产环境中使用调试信息。<serviceDebug> 标记定义是否为 WCF 服务启用调试信息功能。



如果属性 includeExceptionDetailInFaults 设置为 true，则会将来自应用程序的异常信息返回至客户端。攻击者可以利用其从调试输出中获得的附加信息，对应用程序所用的框架、数据库或其他资源发动攻击。

示例：以下配置文件包含 <serviceDebug> 标签：

<configuration>
  <system.serviceModel>
    <behaviors>
      <serviceBehaviors>
        <behavior name="MyServiceBehavior">
          <serviceDebug includeExceptionDetailInFaults="True" httpHelpPageEnabled="True"/>
...

如果 WCF 配置为在写入审计日志失败时不抛出异常，程序将不会收到失败通知，且可能不会对关键安全事件进行审计。

示例 1：以下 WCF 配置文件中的 <behavior/> 元素会指示 WCF 在 WCF 写入审计日志失败时不通知应用程序。

<behaviors>
   <serviceBehaviors>
      <behavior name="NewBehavior">
         <serviceSecurityAudit auditLogLocation="Application"
             suppressAuditFailure="true"
             serviceAuthorizationAuditLevel="Success"
             messageAuthenticationAuditLevel="Success" />
      </behavior>
   </serviceBehaviors>
</behaviors>

Windows Communication Foundation (WCF) 能够记录成功和/或失败身份验证尝试。记录失败身份验证尝试可以就潜在强力攻击向管理员发出警告。同样，当合法帐户受损时，记录成功身份验证事件可以提供有效审计跟踪。

WCF 服务可配置为显示元数据。元数据会提供详细的服务描述信息，不应在生产环境中广播。ServiceMetaData 类的 HttpGetEnabled / HttpsGetEnabled 属性可定义服务是否会显示元数据。
示例 1：以下代码会指示 WCF 广播服务的元数据。

    ServiceMetadataBehavior smb = new ServiceMetadataBehavior();
    smb.HttpGetEnabled = true;
    smb.HttpGetUrl = new Uri(EndPointAddress);
    Host.Description.Behaviors.Add(smb);

如果未使用身份验证连接到用于将消息传递给另一个程序的 MSMQ 队列，攻击者可能会提交恶意的匿名消息。

示例 1：以下 WCF 配置文件中的 <netMsmqBinding/> 元素会指示 WCF 在连接到用于传递消息的 MSMQ 队列时禁用身份验证。

    <bindings>
      <netMsmqBinding>
        <binding>
          <security>
            <transport msmqAuthenticationMode="None" />
          </security>
        </binding>
      </netMsmqBinding>
    </bindings>

采用未定义传输或消息安全性的程序来传送消息，无法保证消息的完整性或保密性。将 WCF 安全绑定设为 None 时，传输安全性和消息安全性都会被禁用。

示例 1：以下代码会将虚构的 Widget 服务的 WCF 基本 HTTP 绑定安全模式设置为 None。

BasicHttpBinding binding = new BasicHttpBinding();
binding.Security.Mode = BasicHttpSecurityMode.None;

ServiceHost serviceHost = new ServiceHost(typeof(Widget), baseAddress);
serviceHost.AddServiceEndpoint(typeof(Widget), binding, new URI("ExposureAddress"));

<serviceMetadata> 标签启用元数据发布功能。服务元数据可能包含不应公开访问的敏感信息。