如何防止 Spring MVC 中的 XSS？现在我只是将所有输出用户文本的地方放入 JSTL
<c:out>fn:escapeXml()有没有一种简单的系统方法来防止这种情况发生？也许像过滤器什么的？我通过在控制器方法上指定
@RequestParam在 Spring 中，您可以从由
<form>对于
web.xml<context-param>
<param-name>defaultHtmlEscape</param-name>
<param-value>true</param-value>
</context-param>
对于文件本身给定页面上的所有表单：
<spring:htmlEscape defaultHtmlEscape="true" />
对于每种表格：
<form:input path="someFormField" htmlEscape="true" />
我通过
@Valid@RequestBody@org.hibernate.validator.constraints.SafeHtmlHibernate
SafeHtmlValidatororg.jsoup<dependency>
<groupId>org.jsoup</groupId>
<artifactId>jsoup</artifactId>
<version>1.10.1</version>
</dependency>
对于豆
User@NotEmpty
@SafeHtml
protected String name;
尝试在控制器中使用值
<script>alert(123)</script>@PutMapping(value = "/{id}", consumes = MediaType.APPLICATION_JSON_VALUE)
public void update(@Valid @RequestBody User user, @PathVariable("id") int id)
或
@PostMapping
public void createOrUpdate(@Valid User user) {
抛出
BindExceptionMethodArgumentNotValidException@RequestBodyname may have unsafe html content
验证器对于绑定也同样有效，就像之前的持久化一样。 应用程序可以在 http://topjava.herokuapp.com/
进行测试更新：另请参阅@GuyT 的评论
CVE-2019-10219 和 @SafeHtml 的状态
我们已获悉与 @SafeHtml 约束相关的 CVE-2019-10219，它已在 6.0.18.Final 和 6.1.0.Final 中修复......
但是，我们得出的结论是，@SafeHtml 约束很脆弱，对安全性高度敏感，并且依赖于并非为此目的设计的外部库。将其包含在核心 Hibernate Validator 中并不是一个好主意。这就是我们弃用它并将其标记为删除的原因。这里没有神奇的计划，所以我们的用户必须自己维护这个约束
我自己的简历：它是安全的并且可以使用，直到找到更好的解决方案。
更新：由于从
@SafeHtml/SafeHtmlValidatorhibernate.validatorNoHtmlValidator尝试XSSFilter。
当您尝试防止 XSS 时，考虑上下文很重要。举个例子，如果您在 JavaScript 代码片段中的变量内输出数据，而不是在 HTML 标签或 HTML 属性中输出数据，那么转义的方式和内容是非常不同的。
我这里有一个这样的例子。另请查看 OWASP XSS 预防备忘单。
所以简短的答案是，确保按照 Tendayi Mawushe 的建议转义输出，但在 HTML 属性或 JavaScript 中输出数据时要特别小心。
始终手动检查您使用的方法、标签，并确保它们最终总是逃逸（一次）。框架在这方面有很多错误和差异。
**To avoid XSS security threat in spring application**
XSS问题的解决方案是过滤表单中的所有文本字段 提交表格时。
It needs XML entry in the web.xml file & two simple classes.
java code :-
The code for the first class named CrossScriptingFilter.java is :
package com.filter;
import java.io.IOException;
import javax.servlet.Filter;
import javax.servlet.FilterChain;
import javax.servlet.FilterConfig;
import javax.servlet.ServletException;
import javax.servlet.ServletRequest;
import javax.servlet.ServletResponse;
import javax.servlet.http.HttpServletRequest;
import org.apache.log4j.Logger;
public class CrossScriptingFilter implements Filter {
private static Logger logger = Logger.getLogger(CrossScriptingFilter.class);
private FilterConfig filterConfig;
public void init(FilterConfig filterConfig) throws ServletException {
this.filterConfig = filterConfig;
}
public void destroy() {
this.filterConfig = null;
}
public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain)
throws IOException, ServletException {
logger.info("Inlter CrossScriptingFilter ...............");
chain.doFilter(new RequestWrapper((HttpServletRequest) request), response);
logger.info("Outlter CrossScriptingFilter ...............");
}
}
名为RequestWrapper.java的第二个类的代码是：
包 com.filter;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletRequestWrapper;
import org.apache.log4j.Logger;
public final class RequestWrapper extends HttpServletRequestWrapper {
private static Logger logger = Logger.getLogger(RequestWrapper.class);
public RequestWrapper(HttpServletRequest servletRequest) {
super(servletRequest);
}
public String[] getParameterValues(String parameter) {
logger.info("InarameterValues .. parameter .......");
String[] values = super.getParameterValues(parameter);
if (values == null) {
return null;
}
int count = values.length;
String[] encodedValues = new String[count];
for (int i = 0; i < count; i++) {
encodedValues[i] = cleanXSS(values[i]);
}
return encodedValues;
}
public String getParameter(String parameter) {
logger.info("Inarameter .. parameter .......");
String value = super.getParameter(parameter);
if (value == null) {
return null;
}
logger.info("Inarameter RequestWrapper ........ value .......");
return cleanXSS(value);
}
public String getHeader(String name) {
logger.info("Ineader .. parameter .......");
String value = super.getHeader(name);
if (value == null)
return null;
logger.info("Ineader RequestWrapper ........... value ....");
return cleanXSS(value);
}
private String cleanXSS(String value) {
// You'll need to remove the spaces from the html entities below
logger.info("InnXSS RequestWrapper ..............." + value);
//value = value.replaceAll("<", "& lt;").replaceAll(">", "& gt;");
//value = value.replaceAll("\\(", "& #40;").replaceAll("\\)", "& #41;");
//value = value.replaceAll("'", "& #39;");
value = value.replaceAll("eval\\((.*)\\)", "");
value = value.replaceAll("[\\\"\\\'][\\s]*javascript:(.*)[\\\"\\\']", "\"\"");
value = value.replaceAll("(?i)<script.*?>.*?<script.*?>", "");
value = value.replaceAll("(?i)<script.*?>.*?</script.*?>", "");
value = value.replaceAll("(?i)<.*?javascript:.*?>.*?</.*?>", "");
value = value.replaceAll("(?i)<.*?\\s+on.*?>.*?</.*?>", "");
//value = value.replaceAll("<script>", "");
//value = value.replaceAll("</script>", "");
logger.info("OutnXSS RequestWrapper ........ value ......." + value);
return value;
}
唯一剩下的是 web.xml 文件中的 XML 条目：
<filter>
<filter-name>XSS</filter-name>
<display-name>XSS</display-name>
<description></description>
<filter-class>com.filter.CrossScriptingFilter</filter-class>
</filter>
<filter-mapping>
<filter-name>XSS</filter-name>
<url-pattern>/*</url-pattern>
</filter-mapping>
/* 表示对于浏览器发出的每个请求，它都会调用 CrossScriptingFilter 类。它将解析来自请求的所有组件/元素& 将用空字符串替换黑客放置的所有 javascript 标签，即