XSS 防御之 AntiSamy

1.前言

传统 xss 防御的方式，可以是在前端或服务端进行手动特殊字符过滤，用户根据需要添加需要被处理的字符。这种方式的优点是方便简单，但缺点是，开发者很难穷举需要被过滤的特殊字符。所以有了 AntiSamy。

2.AntiSamy 简介

AntiSamy 是 OWASP 的一个开源项目，分为 Java 和 .Net 版。AntiSamy 是通过对用户输入的内容进行检查，根据策略过滤非法字符，确保输入的安全性。AntiSamy 被广泛应用于 Web 服务对存储型和反射型 XSS 的防御中。
Antisamy 的对包含非法字符的过滤依赖于策略文件，策略文件规定了 AntiSamy 对各个标签、属性的处理方法。策略文件定义的严格与否，决定了AntiSamy 对 xss 漏洞的防御效果。

3.策略文件

Antisamy有五种策略文件模版，用户可以根据场景选择。

antisamy-anythinggoes.xml    非常危险，允许HTML、CSS、Javascript通过
antisamy-ebay.xml    相对安全，对内容进行过滤。适用于电子商务网站，允许用户输入HTML脚本作为页面的一部分
antisamy-myspace.xml 相对危险，适用于社交网站，允许用户输入作为整个页面
antisamy-slashdot.xml    适用于新闻网站的评论过滤
antisamy-tinymce.xml 相对安全，只允许文本格式通过

策略文件为 xml 格式，除去 xml 文件头外，可以为七个部分，各部分的详细描述请参见：AntiSamy 策略文件详解。其中，重点关注 <tag-rules> 部分，此部分负责标签的处理策略（remove、truncate、validate）。

4.使用方法

4.1 到 AntiSamy 官网下载策略文件，拷贝到项目中。

4.2 maven 导入 jar 包。

&