该文章复现了Spring Data MongoDB的SpEL注入漏洞（CVE-2022-22980），通过构造恶意keyword参数触发代码执行。漏洞源于findAllByIdLike方法，修复版本为3.4.1和3.3.5，建议使用[0]代替?0参数绑定。

本文介绍了Spring Expression Language（SpEL）及其常见注入攻击，以及CVE-2022-22963和CVE-2022-22980两个漏洞实例的修复方式、检测与防御手段。华为云的PaaS技术创新Lab致力于提供下一代智能研发工具服务。