【快学SpringBoot】过滤XSS脚本攻击(包括json格式)

最新推荐文章于 2024-07-06 22:22:11 发布

原创

最新推荐文章于 2024-07-06 22:22:11 发布 · 1.2k 阅读

2 ·

CC 4.0 BY-SA版权

本文详细介绍了XSS攻击的概念及其危害，并展示了如何在SpringBoot应用中有效防止XSS攻击。通过创建XssAndSqlHttpServletRequestWrapper、XssFilter和XssStringJsonSerializer，分别处理querystring和JSON类型的请求参数，确保前端接收到的数据已进行转义，避免浏览器执行恶意脚本。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

XSS攻击是什么

XSS攻击全称跨站脚本攻击，是为不和层叠样式表(Cascading Style Sheets, CSS)的缩写混淆，故将跨站脚本攻击缩写为XSS，XSS是一种在web应用中的计算机安全漏洞，它允许恶意web用户将代码植入到提供给其它用户使用的页面中。

简而言之，就是作恶用户通过表单提交一些前端代码，如果不做处理的话，这些前端代码将会在展示的时候被浏览器执行。

如何避免XSS攻击

解决XSS攻击，可以通过后端对输入的数据做过滤或者转义，使XSS攻击代码失效。

代码实现

对于过滤XSS脚本的代码，通过搜索引擎可以搜索到很多，但似乎都不是那么全面。基本上都是只能过滤querystring（表单类型）类型的入参，而不能过滤json类型的入参。其实，在现在的开发中，更多的是使用json类型做数据交互。下面就直接贴代码了：

新建XssAndSqlHttpServletRequestWrapper.java

import org.apache.commons.lang3.StringUtils;
import org.apache.commons.text.StringEscapeUtils;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletRequestWrapper;
/**
 * @author Happy
 * 防止XSS攻击
 */
public class XssAndSqlHttpServletRequestWrapper extends HttpServletRequestWrapper {
   
   
 private HttpServletRequest request;
 public XssAndSqlHttpServletRequestWrapper(HttpServletRequest request) {
   
   
 super(request);
 this.request = request;
 }
 @Override
 public String getParameter(String name) {
   
   
 String value = request.getParameter(name);
 if (!StringUtils.isEmpty(value)) {
   
   
 value = StringEscapeUtils.escapeHtml4(value);
 }
 return value;
 }
 @Override
 public String[] getParameterValues(String name) {
   
   
 String[] parameterValues = super.getParameterValues(name