解压并在 IDEA 导入刚刚创建的 xss-demo 项目

在 pom.xml 添加相关依赖：

     org.owasp.antisamy
     antisamy
     1.5.7




    com.alibaba
    fastjson
    1.2.62

修改 xss-demo 工程包结构如下：

XSSFilter 编码如下：

/**
 * @program: xss-demo
 * @author: Mr.Zhang
 * @create: 2021-02-21 15:45
 **/
public class XssFilter implements Filter {
    @Override
    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
        HttpServletRequest httpServletRequest = (HttpServletRequest) request;
        HttpServletRequest req = (HttpServletRequest) request;
        String path = req.getServletPath();
        //注解配置的是urlPatterns="/*"(过滤所有请求),所以这里对不需要过滤的静态资源url,作忽略处理(大家可以依照具体需求配置)
        String[] exclusionsUrls = {".js", ".gif", ".jpg", ".png", ".css", ".ico"};
        for (String str : exclusionsUrls) {
            if (path.contains(str)) {
                chain.doFilter(request, response);
                return;
            }
        }
        chain.doFilter(new XssRequestWrapper(httpServletRequest), response);
    }
}

XssRequestWrapper 包装类编码如下：

/**
 * @program: xss-demo
 * @author: Mr.Zhang
 * @create: 2021-02-21 15:46
 **/
@Slf4j
public class XssRequestWrapper extends HttpServletRequestWrapper {
    public XssRequestWrapper(HttpServletRequest request) {
        super(request);
    }


    /**
     * 获取策略文件，直接使用jar中自带的ebay策略文件
     */
    private static InputStream inputStream = XssRequestWrapper.class.getClassLoader()
            .getResourceAsStream("antisamy-ebay.xml");
    private static Policy policy = null;


    static {
        try {
            // 使用静态代码块处理策略对象的创建
            policy = Policy.getInstance(inputStream);
        } catch (PolicyException e) {
            e.printStackTrace();
        }
    }


    /**
     * 使用AntiSamy进行过滤数据
     * @param html
     * @return
     */
    private String xssClean(String html) {
        String cleanHTML = "";
        try {
            AntiSamy antiSamy = new AntiSamy();
            CleanResults scan = antiSamy.scan(html, policy);
            cleanHTML = scan.getCleanHTML();
        } catch (ScanException e) {
            e.printStackTrace();
        } catch (PolicyException e) {
            e.printStackTrace();
        }
        return cleanHTML;
    }


    /**
     * 重写处理请求参数的方法
     * @param name
     * @return
     */
    @Override
    public String[] getParameterValues(String name) {
        String[] values = super.getParameterValues(name);


        // 判断参数有值，如果没有值，直接返回
        if (values == null) {
            return null;
        }


        // 遍历参数数组，使用AntiSamy进行过滤
        int len = values.length;
        String[] newValues = new String[len];
        for (int i = 0; i < len; i++) {
            // 过滤前的数据
            log.info("使用AntiSamy进行过滤清理，过滤清理之前的数据：{}", values[i]);
            // 进行过滤
            newValues[i] = xssClean(values[i]);
            // 过滤后的数据
            log.info("使用AntiSamy进行过滤清理，过滤清理之后的数据：{}", newValues[i]);
        }


        //返回过滤后的结果
        return newValues;
    }


    /**
     * 重写处理json数据的方法
     * @return
     * @throws IOException
     */
    @Override
    public ServletInputStream getInputStream() throws IOException {
        // 读取流
        BufferedReader reader = new BufferedReader(
                new InputStreamReader(super.getInputStream(), "UTF-8"));


        // 获取json格式的数据
        StringBuilder sb = new StringBuilder();
        String inputStr;
        while ((inputStr = reader.readLine()) != null) {
            sb.append(inputStr);
        }


        // 把json转为map
        Map map = JSON.parseObject(sb.toString(), Map.class);


        // 过滤前
        log.info("json过滤前:{}", sb.toString());
        // 对map中的value值进行AntiSamy的过滤
        map.keySet().forEach(k -> {
            map.put(k, xssClean(map.get(k).toString()));
        });
        // 过滤后
        String json = JSON.toJSONString(map);
        log.info("json过滤后:{}", json);


        // 把json数据转为流的格式进行返回
        ByteArrayInputStream bais = new ByteArrayInputStream(json.getBytes());


        return new ServletInputStream() {
            @Override
            public boolean isFinished() {
                return false;
            }


            @Override
            public boolean isReady() {
                return false;
            }


            @Override
            public void setReadListener(ReadListener listener) { }


            @Override
            public int read() throws IOException {
                return bais.read();
            }
        };


    }
}

AntiSamyConfig 配置过滤器类编码如下：

/**
 * @program: xss-demo
 * @author: Mr.Zhang
 * @create: 2021-02-21 15:58
 **/
@Configuration
public class AntiSamyConfig {


    /**
     * 配置xss过滤器
     * @return
     */
    @Bean
    public FilterRegistrationBean create() {
        FilterRegistrationBean filterRegistrationBean = new FilterRegistrationBean(new XssFilter());
        filterRegistrationBean.addUrlPatterns("/*");
        filterRegistrationBean.setOrder(1);
        return filterRegistrationBean;
    }
}

User 实体类：

/**
 * @program: xss-demo
 * @author: Mr.Zhang
 * @create: 2021-02-21 15:42
**/
@Data
public class User {
    private int id;
    private String name;
    private int age;
}

UserController 测试控制器类编码如下：

/**
 * @program: xss-demo
 * @author: Mr.Zhang
 * @create: 2021-02-21 15:43
 **/
@Slf4j
@RestController
@RequestMapping("user")
public class UserController {
    /**
     * 表单
     * @param user
     * @return
     */
    @PostMapping("save")
    public String save(User user) {
        log.info("name={}, age={}", user.getName(), user.getAge());
        return JSON.toJSONString(user);
    }


    /**
     * json数据格式请求体
     * @param user
     * @return
     */
    @PostMapping("json")
    public String saveJson(@RequestBody User user) {
        log.info("user={}", user.toString());
        return JSON.toJSONString(user);
    }
}

application.properties 配置文件为空，运行启动类后默认端口号8080。

Postman 模拟表单数据请求及响应效果如下：

后端程序控制台日志打印如下：

Postman 模拟 json 数据请求及响应效果如下：

后端程序控制台日志打印如下：

以上两个情况，请求参数中隐藏的 xss 攻击代码被过滤器过滤后再进入 Contrlloer 层处理。

11. 能不能根本上解决问题，即浏览器自动禁止外部注入恶意脚本？

开启 CSP （内容安全策略 Content Security Policy）方法：设置 HTTP 的 头部字段

resp.setHeader("Content-Security-Policy","default-src http: https:");

设置网页的标签

CSP 常见可选策略设置如下：

本文转载自码上修行

今日职位推荐：

前端开发主管

要求：

1. 本科及以上学历，软件技术、计算机科学与技术、电子工程等相关专业，5年及以上前端开发经验

2. 精通Vue/JQuery等JS框架，HTML/HTML5/CSS3/JavaScript，熟练使用uniapp

3. 具备浏览器开发调试技能，能分析解决问题

4. 掌握Web前端构建工具，能够运用构建工具

5. 具有基于VUE 低代码开发经验

办公地址：苏州市吴中区

薪资范围：20k-25k

投递方式：Freemen App中定位苏州搜索前端开发主管