SpringBoot 抵御XSS攻击

最新推荐文章于 2025-11-06 11:08:23 发布

原创

最新推荐文章于 2025-11-06 11:08:23 发布 · 914 阅读

3 ·

CC 4.0 BY-SA版权

文章标签：

#spring boot #xss #servlet

文章详细介绍了XSS攻击的危害，包括窃取Cookie和JWT令牌等敏感信息。为了防御XSS，文章提出了使用Hutool库进行数据转义，并定义了一个HttpServletRequestWrapper子类，覆盖参数和头信息的获取方法，确保数据在存储和展示前被过滤。此外，通过创建一个过滤器(XSSFilter)，拦截所有请求并使用包装类处理，实现了全局的数据转义。最后，文章提到了测试方法和需要在主类上添加的注解以启用过滤器。

1、XSS攻击的危害

XSS攻击通常指的是通过利用网页开发时留下的漏洞，通过巧妙的方法注入恶意指令代码到网页，使用户加载并执行攻击者恶意制造的网页程序。这些恶意网页程序通常是JavaScript，但实际上也可以包括Java、 VBScript、ActiveX、 Flash 或者甚至是普通的HTML。攻击成功后，攻击者可能得到包括但不限于更高的权限（如执行一些操作）、私密网页内容、会话和cookie等各种内容。

例如用户在发帖或者注册的时候，在文本框中输入<script>各种js代码</script>，这段代码如果不经过转义处理，而直接保存到数据库。将来视图层渲染HTML的时候，把这段代码输出到页面上，那么<script>标签的内容就会被执行。

通常情况下，我们登陆到某个网站。如果网站使用HttpSession保存登陆凭证，那么SessionId会以Cookie的形式保存在浏览器上。如果黑客在这个网页发帖的时候，填写的JavaScript代码是用来获取Cookie内容的，并且把Cookie内容通过Ajax发送给黑客自己的电脑。于是只要有人在这个网站上浏览黑客发的帖子，那么视图层渲染HTML页面，就会执行注入的XSS脚本，于是你的Cookie信息就泄露了。黑客在自己的电脑上构建出Cookie，就可以冒充已经登陆的用户。

即便很多网站使用了JWT，登陆凭证（Token令牌）是存储在浏览器上面的。所以用XSS脚本可以轻松的从Storage中提取出Token，黑客依然可以轻松的冒充已经登陆的用户。

所以避免XSS攻击最有效的办法就是对用户输入的数据进行转义，然后存储到数据库里面。等到视图层渲染HTML页面的时候。转义后的文字是不会被当做JavaScript执行的，这就可以抵御XSS攻击。

2、抵御XSS的实现

因为Hutool工具包带有XSS转义的工具类，所以我们要导入Hutool，然后利用Servlet规范提供的请求包装类，定义数据转义功能。

1、导入Hutool的依赖库

<dependency>
	<groupId>cn.hutool</groupId>
	<artifactId>hutool-all</artifactId>
	<version>5.4.0</version>
</dependency>

2、定义请求包装类

package com.zhao.config.xss;

import cn.hutool.core.util.StrUtil;
import cn.hutool.http.HtmlUtil;
import cn.hutool.json.JSONUtil;

import javax.servlet.ReadListener;
import javax.servlet.ServletInputStream;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletRequestWrapper;
import java.io.*;
import java.nio.charset.Charset;
import java.util.HashMap;
import java.util.LinkedHashMap;
import java.util.Map;

/**
 * @Author: 
 * @Date: 
 * @Description: 对请求的数据进行转移，以达到抵御XSS攻击
 */
public class XSSHttpServletRequestWrapper extends HttpServletRequestWrapper {
   
   
    public XSSHttpServletRequestWrapper(HttpServletRequest request) {
   
   
        super(request);
    }

    @Override
    public String getParameter(String name) {
   
   
        String value = super.getParameter(name);
        if