本文针对 Apache Struts2 S2-059 (CVE-2019-0230) 远程代码执行漏洞进行了深度复现与原理分析。该漏洞源于 Struts2 标签库对 OGNL（Object-Graph Navigation Language） 表达式的二次解析缺陷，当开发者在标签属性中错误地引用了受攻击者控制的原始输入时，攻击者可以通过构造恶意的 OGNL 表达式绕过沙箱限制，最终在目标服务器上实现任意代码执行。