【欢迎关注公众号：冬瓜白】

关于xss过滤，网上大都是是对 param的，这个很多文章了 定义过滤器。XSSFilter 不说了，参考 https://blog.youkuaiyun.com/yucaifu1989/article/details/61616554还有就是对所有@ResponseBody 返回内容做XSS过滤的方案：MappingJackson2HttpMessageConverter 的objectMapper 做设置参考 百度那么对 @RequestBody 的 json 数据怎么过滤呢：spring处

CSRF（Cross-site request forgery），即跨站请求伪造，本质就是攻击者伪造你的身份发送请求。攻击流程在 Google 上找了一张流程图：用户访正常登录访问 mybank.com 网站，登录成功后，mybank 服务端会产生 Cookie 信息给浏览器；在用户不登出 mybank.com 的情况下访问攻击网站 attacker.com 的攻击链接，此链接会直接访...