大量jsp源代码暴露漏洞，请看jsp爱好者的jsp安全专题(http://jspbbs.yeah.net)

[coolknight]

现在jsp做的网站慢慢开始多了起来，但是随之而来的就是最让人头疼的jsp代码泄漏的问题，这些问题似乎和SUN公司鼓吹的jsp程序比asp程序更安全的论点有点背道而驰，据观察，国内外大部分jsp网站都还存在jsp代码泄漏的问题。
您的Jsp站点安全吗？您的Jsp源代码会被别人轻易下载吗？请看看站长为您精心挑选的19篇关于Jsp漏洞的文章，这些文章涉及到了各种系统如Websphere、Weblogic、Tomcat、Jrun等的各种源代码泄漏的漏洞，提醒大家：请注意jsp网站安全，如果您的网站有这些问题，请补上补丁把。
请访问http://jspbbs.yeah.net

[simoncn]

其实不把 JSP 当 ASP 来用（不包含业务逻辑），这些漏洞就不会产生太大的影响了！
错误的架构，是最致命的错。

[coolknight]

ok

[coolknight]

对啊，好的架构，就算看到jsp源代码也没有用的，因为绝大部分代码都在beans里面
不过我发现有方法可以download编译后的Javabean class文件(某些系统的漏洞)，反编译为
源代码后看到数据库信息，这样就太不安全了

[atomhwj]

其实，JSP在J2EE里面是属于PRESENTATION LAYER部分的，所以有关数据库访问，事务，商业逻辑等重要的代码都应该写成在Bussiness Layer中的，如JavaBean或Enterprise JavaBean。这样，你所建立的网站才会更具扩展性，稳定性，也会更安全。

[青润]

这些网站是不是将bean与JSP一同放置在公开目录里了，否则，除非你黑掉服务器，否则应该是无法download编译后的bean的。所以，我觉得还是这些网站在设计的时候没有做好架构关系造成的。

[coolknight]

对啊，因为很多WEB服务器的架构是把class文件都放在了web目录下的Web-inf文件，利用一些漏洞就很容易得到了