XSS跨站漏洞

漏洞描述
攻击者可以通过构造URL注入JavaScript、VBScript、ActiveX、HTML或者Flash的手段，利用跨站脚本漏洞欺骗用户，收集Cookie等相关数据并冒充其他用户。通过精心构造的恶意代码，可以让访问者访问非法网站或下载恶意木马，如果再结合其他攻击手段（如社会工程学、提权等），甚至可以获取系统的管理权限。

解决方法
对用户输入的数据进行全面安全检查或过滤，尤其注意检查是否包含HTML特殊字符。这些检查或过滤必须在服务器端完成，建议过滤的常见危险字符。

具体思路
添加一个过滤器filter和一个黑名单。这个filter对用户的每次请求进行过滤。例如，在doFilter()方法中，可以通过Reuqest.getParamerNames()获取表单中所提交的所有数据，将这些数据与黑名单中的信息一一校验，如果包含黑名单中某个字符串，则认定有XSS攻击风险，拒绝访问请求即可。

黑名单内容可如下所示

<script>
&lt;script&gt;
<iframe
<iframe>
&lt;iframe&gt;
&lt;iframe
&lt; for <
&gt; for >
&quot for "