Spring - SpEL 容易受到攻击吗

Spring - SpEL 是 Spring 框架中的一种表达式语言，全称为 Spring Expression Language。它提供了一种在运行时动态地评估和查询对象图的强大的表达能力。SpEL 可以在 Spring 框架的许多地方使用，包括注解、XML 配置文件、Spring Security 等。但是，SpEL 在使用过程中也存在一些潜在的安全风险，可能受到攻击。

java
@Component
public class UserService {
    @Autowired
    private UserRepository userRepository;
    public boolean login(String username, String password) {
        String expression = "#user.username == '" + username + "' and #user.password == '" + password + "'";
        ExpressionParser parser = new SpelExpressionParser();
        StandardEvaluationContext context = new StandardEvaluationContext();
        context.setVariable("user", userRepository.findUserByUsername(username));
        Expression exp = parser.parseExpression(expression);
        return (boolean) exp.getValue(context);
    }
}