Struts REST any-setter 防御点検 / 2026-10-29確認
実機操作を伴わない点検教材。

Apache Struts 2 RESTのJVN#82782759について、防御点検を読み取り専用で補助してください。
公式資料:
https://jvn.jp/jp/JVN82782759/index.html
https://struts.apache.org/core-developers/struts-parameter-annotation
https://issues.apache.org/jira/browse/WW-5712

入力: サービス仮名 / 配備済みStruts core・RESTプラグインの版 / REST本文のJSON・XML利用 / struts.parameters.requireAnnotationsの実効値 / struts.rest.anySetter.requireAnnotationsの実効値 / 秘密を除いた@JsonAnySetterの宣言箇所 / 更新・テスト記録

1. 7.2.1～7.3.0というJVNの対象版、REST利用、設定、受け口を組み合わせて対象候補・要追加確認を整理する。
2. 7.4.0以降でも新設定の初期値falseを考慮し、版だけで対応済みにしない。
3. 必要なメソッド・フィールドのallowDynamicKeys、depth、creatorパラメータ形式の扱いを公式仕様に照合する。
4. 動的入力の許可と業務上のキー・値の検証、利用者の権限確認を分ける。
5. 正常入力、未許可の受け口、深さ超過、利用中のJSON/XML経路のテスト計画を作る。HTTPステータスだけでなく格納値・保存結果を確認対象にする。
6. 稼働版・実効設定・全台反映・担当者・完了証拠・残る未確認を表にする。
7. 根拠のないCVE番号、CVSS、実悪用の有無を作らない。検索で見つからないことを非該当や侵害なしの証拠にしない。

実機接続、外部探索、攻撃再現、依存パッケージ変更、設定変更、配備はしないでください。機密情報の追加提出も求めないでください。
出力: サービス / 確認済み事実 / 根拠URLと確認日 / 未確認事項 / 対応案 / テストの期待結果 / 担当 / 完了証拠

空の記録表
サービス仮名:
配備済みcore・RESTプラグイン版:
JSON/XML経路:
既存認可設定と追加設定の実効値:
any-setterの形式・必要性・明示許可・depth:
業務上のキー・値・権限の検証:
正常系・拒否系の期待結果と確認結果:
全台配備の証拠:
過去のデータ調査の範囲・未確認:
担当者・次の確認事項: