2017年，漏洞Equifax公司泄露了1.43亿美国人的漏洞社保号、驾照号和信用卡数据。漏洞事后调查发现，漏洞攻击者用的漏洞正是Struts2的一个远程代码执行漏洞——CVE-2017-5638。讽刺的漏洞是，这个漏洞的漏洞修复补丁在攻击发生前两个月就发布了，Equifax没打。漏洞

Struts2是漏洞Java世界里最流行的MVC框架之一，国内大量政府网站、漏洞银行系统、漏洞电商平台用它撑腰。漏洞但它的漏洞漏洞史几乎和它的流行史一样长。从2010年的漏洞S2-005开始，到2023年的漏洞S2-066，每隔几个月就爆一个RCE（远程代码执行）。攻击者只要往HTTP请求头里塞一段精心构造的OGNL表达式，就能让服务器执行任意命令——相当于直接拿了一把万能钥匙，连撬锁都省了。

为什么这玩意儿这么容易出问题？根子在于Struts2的设计哲学：它把用户输入和框架内部逻辑混在一起。OGNL（对象图导航语言）本来是给开发者用的，用来在页面标签里做数据绑定，但框架却允许HTTP参数直接触发OGNL表达式解析。这就好比你把家门钥匙挂在门口，还贴了张纸条说“请自行取用”。

更麻烦的是，漏洞利用门槛低到发指。网上随便搜一下就有现成的POC（概念验证代码），复制粘贴就能用。我见过一些安全测试报告，一个刚入行的实习生用公开脚本，十分钟内就能拿下没打补丁的Struts2服务器。这种场景在攻防演练里反复出现——蓝队刚封了一个IP，红队换个代理又打进来，日志里全是同样的攻击特征。

厂商的修复方式也让人头疼。大部分漏洞补丁是“堵洞”而非“修根”——拦截特定参数名、过滤OGNL关键字，而不是重新设计数据绑定机制。结果就是攻击者换个编码方式、绕个过滤规则，下一个漏洞又出来了。S2-045和S2-046是同一个根因，只是触发位置从Content-Type头换到了Content-Disposition头，补丁却各自为战。

说句实在话，如果你还在维护Struts2老项目，别指望框架升级能一劳永逸。最靠谱的做法是两层防护：第一，给系统前面加个Web应用防火墙，专门拦截OGNL特征串；第二，把Struts2的Action里所有动态参数绑定全部关掉，改用手动接收。但这俩都是权宜之计——真正干净的方案是换框架，比如Spring MVC，代价是重构成本高到很多团队宁可赌一把。

我见过最惨的案例是某银行核心系统，Struts2版本停在2015年，因为升级要过银保监的合规审计，流程走半年。结果被一个小黑客用S2-032打进内网，横向移动到了数据库。事后复盘，漏洞利用时间只有四秒，但整个内网被翻了个底朝天。那四秒里，日志系统甚至没报警——因为攻击流量和正常业务请求长得太像了。

Struts2的漏洞史本质上是一堂安全设计课：任何把“灵活性”凌驾于“隔离性”之上的框架，迟早会付出代价。你没法指望一个十年前设计的框架突然变得安全，就像你不能让一辆老桑塔纳跑出法拉利的速度。要么接受现实做好防护，要么痛下决心换车——没有第三条路。