オーグネル

オブジェクト グラフ ナビゲーション言語(OGNL) は、 Java用のオープン ソース式言語 (EL)です。Java 言語でサポートされているすべての式よりも単純な式を使用しながら、プロパティの取得と設定 (JavaBeans にある定義済みの setProperty メソッドと getProperty メソッドを使用)や、Java クラスのメソッドの実行が可能です。また、配列の操作も簡単に行えます。

これは、タグライブラリを式言語として 使用するJava EEアプリケーションで使用することを目的としています。

OGNLは、OGNL TechnologyのLuke BlanshardとDrew Davidsonによって作成されました。^[1] OGNLの開発はOpenSymphonyによって継続されましたが、2011年に終了しました。^{[2] OGNLは現在、} Apache Commonsの一部として開発されています。

OGNL は、プロパティ名を使用してフロントエンド コンポーネントとバックエンド オブジェクト間の関連付けをマッピングする方法として始まりました。これらの関連付けにさらに多くの機能が集まるにつれて、Drew Davidson はキー値コーディング言語 (KVCL) を作成しました。その後、Luke Blanshard はANTLRを使用して KVCL を再実装し、OGNL という名前を使い始めました。このテクノロジは、Java コンパイラ コンパイラ ( JavaCC )を使用して再度再実装されました。

OGNL は、Javaリフレクションとイントロスペクションを使用して、ランタイム アプリケーションのオブジェクト グラフに対処します。これにより、コンパイル時の設定に依存せずに、オブジェクト グラフの状態に基づいてプログラムの動作を変更できます。また、オブジェクト グラフを変更することもできます。

• WebWork とその後継のStruts 2
• タペストリー(4 以前)
• スプリングウェブフロー
• アパッチクリック
• MyBatis - SQL マッパー フレームワーク
• Thymeleaf - Java XML/XHTML/HTML5 テンプレート エンジン
• FreeMarker - Java テンプレート エンジン

OGNL は実行可能コードを作成または変更できるため、それを使用するフレームワークに重大なセキュリティ上の欠陥をもたらす可能性があります。 ^[要出典] Apache Struts 2 の複数のバージョンが、OGNL のセキュリティ上の欠陥に対して脆弱です。^[3] 2017 年 10 月現在、Struts 2 の推奨バージョンは 2.5.13 です。^[4]古いリビジョンにはセキュリティ上の脆弱性が文書化されているため、ユーザーは最新バージョンにアップグレードすることをお勧めします。たとえば、Struts 2 バージョン 2.3.5 から 2.3.31、および 2.5 から 2.5.10 では、リモートの攻撃者が任意のコードを実行できます。^[5] Atlassian Confluence は繰り返し^{[6] [7]} OGNL のセキュリティ問題の影響を受けており、任意のリモート コード実行が可能になり、すべてのユーザーに更新が必要になりました。

• MVEL

• OGNL 3.x メンテナンス ブランチ
• OGNL 4.x ホームページ (Apache)
• Apache Struts CVE-2013-2134 OGNL 式インジェクション脆弱性