ruoyi cloud框架使用自定义@Xss注解来做Xss校验

使用自定义@Xss注解来做Xss校验

1.什么是XSS攻击

XSS全称是：跨站脚本攻击（cross site script）。按照国际惯例，命名应该以 CSS 命名，但是CSS与大家熟知的 层叠样式表（Cascading Style Sheets）重名了，因此取名为XSS。

XSS通过利用网页开发时留下的漏洞，恶意攻击者往Web页面里插入恶意 Script代码，当用户浏览时，嵌入其中Web里面的Script代码会被执行，从而达到恶意攻击用户的目的。

比如我们在注册用户的时候，给用户别名取名：

<script>
alert("弹出弹出！");
</script>

如果后台未做相关处理，当浏览器显示用户名时就会有alert弹出，当然这只是一个简单的例子。

2.自定义Xss校验注解

我们需要校验Xss，所以我们自定义一个@Xss注解，并且使用@Constraint修饰它。如下的代码是从ruoyi cloud中复制过来的：

import javax.validation.Constraint;
import javax.validation.Payload;
import java.lang.annotation.ElementType;
import java.lang.annotation.Retention;
import java.lang.annotation.RetentionPolicy;
import java.lang.annotation.Target;
/**
 * 自定义xss校验注解
 * 
 */
@Retention(RetentionPolicy.RUNTIME)
@Target(value = { ElementType.METHOD, ElementType.FIELD, ElementType.CONSTRUCTOR, ElementType.PARAMETER })
@Constraint(validatedBy = { XssValidator.class })
public @interface Xss
{
    String message()

    default "不允许任何脚本运行";

    Class<?>[] groups() default {};

    Class<? extends Payload>[] payload() default {};
}

@Constraint(validatedBy = { XssValidator.class })其中的validatedBy属性指定了需要进行校验的策略类集合，这是一个数组。
XssValidator.class是自定义的校验器，具体的逻辑由这个校验器来完成。

3.编写自定义校验器

校验类需要实现ConstraintValidator接口,源代码如下：

package javax.validation;

import java.lang.annotation.Annotation;

public interface ConstraintValidator<A extends Annotation, T> {
    default void initialize(A constraintAnnotation) {
    }

    boolean isValid(T var1, ConstraintValidatorContext var2);
}

ConstraintValidator接口使用了泛型，需要指定两个参数，第一个是自定义注解类，第二个是需要校验的数据的类型。
实现接口后可以重写两个方法，分别为initialize方法和isValid方法。其中initialize为初始化方法，可以在里面做一些初始化操作，isValid方法就是我们最终需要的校验方法了。可以在该方法中实现具体的校验步骤。具体例子如下：

import java.util.regex.Matcher;
import java.util.regex.Pattern;
import javax.validation.ConstraintValidator;
import javax.validation.ConstraintValidatorContext;

/**
 * 自定义xss校验注解实现
 * 
 * @author ruoyi
 */
public class XssValidator implements ConstraintValidator<Xss, String>
{
    private static final String HTML_PATTERN = "<(\\S*?)[^>]*>.*?|<.*? />";

    @Override
    public boolean isValid(String value, ConstraintValidatorContext constraintValidatorContext)
    {
        if (StringUtils.isBlank(value))
        {
            return true;
        }
        return !containsHtml(value);
    }

    public static boolean containsHtml(String value)
    {
        Pattern pattern = Pattern.compile(HTML_PATTERN);
        Matcher matcher = pattern.matcher(value);
        return matcher.matches();
    }
}

4.使用自定义Xss注解

接下来需要将定义的Xss注解放在字段或者方法的上方，就可以使用该注解来校验属性了。我这里以ruoyi cloud为例：

4.1 实体类属性上加注解

public class SysUser extends BaseEntity
{
....
    @Xss(message = "用户昵称不能包含脚本字符")
    @Size(min = 0, max = 30, message = "用户昵称长度不能超过30个字符")
    public String getNickName()
    {
        return nickName;
    }
}

4.2 Controller请求类调用

需要去Controller的方法上，给参数SysUser类加上@Validated来修饰，这样校验就可以生效了。

    @PostMapping("/add")
    @ResponseBody
    public AjaxResult addSave(@Validated SysUser user)
    {
        ......
    }

4.3 处理异常

在valid校验中，如果校验不通过，会产生BindException异常，捕捉到异常后可以获取到defaultMessage也就是自定义注解中定义的内容。在上面的例子中，我们是自己手动传递了message参数。

这一步我们需要定义一个全局异常处理器，当产生BindException异常

import org.springframework.web.bind.annotation.ExceptionHandler;
import org.springframework.web.bind.annotation.RestControllerAdvice;

@RestControllerAdvice
public class GlobalExceptionHandler{
    ......
    /**
     * 自定义验证异常
     */
    @ExceptionHandler(BindException.class)
    public AjaxResult handleBindException(BindException e)
    {
        log.error(e.getMessage(), e);
        String message = e.getAllErrors().get(0).getDefaultMessage();
        return AjaxResult.error(message);
    }
}

@RestControllerAdvice相当于@ControllerAdvice和@ResponseBody。

@Target({ElementType.TYPE})
@Retention(RetentionPolicy.RUNTIME)
@Documented
@ControllerAdvice
@ResponseBody
public @interface RestControllerAdvice {
...
}

@ControllerAdvice，是Spring3.2提供的新注解，它是一个Controller增强器，可对controller中被@RequestMapping注解的方法加一些逻辑处理。最常用的就是异常处理。

然后配合@ExceptionHandler指定处理方法，当将异常抛到controller时，可以对异常进行统一处理，规定返回的json格式。

上面代码中AjaxResult是封装的返回给前端json数据的类，包括了状态码code、返回内容msg、数据对象data。这个在很多开源项目中很常见，用于前后端分离的项目。