Apache Shiro · 密码资产盘点

仓库 apache/shiro · 老牌 Java 安全框架，密码调用分散在多个模块 · 扫描于

913扫描文件

29发现

2已确认

1高/严重

这份报告在说什么

静态扫描只回答一件事：这个仓库里，密码算法和密码库出现在哪里、用的是什么。它不回答"有没有漏洞"，也不回答"是不是真的暴露在生产环境"。

「已确认」= 算法名能在代码里确定（字面量，或本文件内唯一的常量赋值）；「疑似」= 找到了密码调用，但算法名来自变量、配置或依赖注入，静态无法确定。

发现明细（按文件顺序，最多 15 条 / 共 29 条）

风险	算法	位置	置信度	建议动作
高	SHA256-RSA-2048	integration-tests/support/src/main/resources/test-keystore.pem:1	已确认	仅记录
信息	bcprov-jdk18on	crypto/cipher/pom.xml	仅依赖	仅记录
信息	unknown	crypto/cipher/src/main/java/org/apache/shiro/crypto/cipher/AbstractSymmetricCipherService.java:56	疑似	仅记录
信息	unknown	crypto/cipher/src/main/java/org/apache/shiro/crypto/cipher/JcaCipherService.java:417	疑似	仅记录
信息	bcprov-jdk18on	crypto/hash/pom.xml	仅依赖	仅记录
信息	unknown	crypto/hash/src/main/java/org/apache/shiro/crypto/hash/AbstractHash.java:179	疑似	仅记录
信息	unknown	crypto/hash/src/main/java/org/apache/shiro/crypto/hash/SimpleHash.java:349	疑似	仅记录
信息	shiro-core	integration-tests/guice/pom.xml	仅依赖	仅记录
信息	shiro-core	integration-tests/jakarta-ee/pom.xml	仅依赖	仅记录
信息	shiro-core	integration-tests/support/pom.xml	仅依赖	仅记录
信息	unknown	integration-tests/support/src/main/resources/test-keystore.jks:1	已确认	仅记录
信息	shiro-core	samples/guice/pom.xml	仅依赖	仅记录
信息	shiro-core	samples/quickstart-guice/pom.xml	仅依赖	仅记录
信息	shiro-core	samples/quickstart/pom.xml	仅依赖	仅记录
信息	shiro-core	samples/spring-boot-web/pom.xml	仅依赖	仅记录

本次没扫什么（这一节比上面重要）

web/pom.xml 中 org.apache.shiro:shiro-core:(unknown) 重复声明，已按坐标去重（id 冲突）
源码级判定只覆盖 Java：扫描 *.java 与 pom.xml；其他语言的源码只计入 target.languages，不做 API 级判定（不是「扫了没发现」）。
依赖级判定覆盖 pom.xml、build.gradle(.kts)、go.mod、requirements.txt、package.json、package-lock.json、yarn.lock、CMakeLists.txt、vcpkg.json、conanfile.txt，且只认已知密码库表：其余依赖不会被报出来，所以「没报」不等于「没用密码」。
证书只解析公钥与元数据（主体/签发者 CN、签名算法、公钥算法与位数、有效期）；私钥文件只识别 PEM 块类型与算法，不解析私钥内容，也不输出任何密钥字节。
PKCS#12（.p12/.pfx）与 JKS（.jks/.keystore）不解析、不解密，只报一条 info 级「存在密钥容器，需人工核查」。
证书/私钥是文件级资产：evidence.line 固定为 1，不在文件内定位行号；依赖级 evidence.line 固定为 0。
pom.xml 的 parent 继承未解析：子模块未显式声明的 version 可能留空或保留 ${...} 占位符，dependencyPath 只含直接坐标。
pom.xml 只取 <dependencies> 下的直接子节点；<dependencyManagement>、<profiles>、BOM import 都不参与判定。
源码按行扫描：跨行书写的调用（括号内参数换行）判为 likely，不判 confirmed。
已跳过注释与字符串字面量内部的匹配（跨行状态机）；但 Java 15 的 text block（"""..."""）与 Unicode 转义仍可能判错。
密钥长度只在 KeyPairGenerator 命中行及其后 3 行内查找 initialize(<数字>)，其他算法不推断长度；证书的位数来自公钥本身。
依赖级发现不映射清单行号，因此 SARIF 里这类结果不带 region。
符号链接不跟随，扫描范围不会跑出扫描根。
默认排除目录：target、build、.git、node_modules（--exclude 在此之上叠加）。
非 UTF-8 源文件按原始字节读取，JSON 输出时非法字节会被替换为 U+FFFD。
risk.categories 允许为空数组（= 无已知风险，此时 risk.level 必须是 info）：后量子算法、TLS1.2/1.3 等无风险项输出空数组，不自造枚举值。