Spring Boot实战：多层面防御XSS攻击的详细步骤

在Spring Boot中防止XSS（跨站脚本）攻击通常涉及几个关键步骤，包括使用注解、创建过滤器以及配置安全策略。

1. 添加依赖

首先，你需要在你的pom.xml文件中添加用于XSS防护的依赖库。例如，OWASP Java Encoder是一个常用的库，用于编码输出，防止XSS攻击。

<dependency>
    <groupId>org.owasp.encoder</groupId>

    <artifactId>encoder</artifactId>

    <version>1.2.3</version>

</dependency>

2. 创建XSS过滤器

接下来，创建一个过滤器来处理所有的HTTP请求。过滤器可以用来清理用户输入，防止恶意脚本注入。

import org.owasp.encoder.Encode;
import javax.servlet.*;
import javax.servlet.http.HttpServletRequest;
import java.io.IOException;

public class XssFilter implements Filter {

    @Override
    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain)
            throws IOException, ServletException {
        HttpServletRequest req = (HttpServletRequest) request;
        // 使用OWASP Encoder清理请求参数
        String encodedParam = Encode.forHtml(req.getParameter("paramName"));
        // 设置编码后的参数回请求
        HttpServletRequestWrapper wrapper = new HttpServletRequestWrapper(req) {
            @Override
            public String getParameter(String name) {
                return Encode.forHtml(super.getParameter(name));
            }
        };
        chain.doFilter(wrapper, response);
    }

    @Override
    public void init(FilterConfig filterConfig) throws ServletException {}

    @Override
    public void destroy() {}
}

3. 注册过滤器

在Spring Boot应用中注册过滤器，你可以在WebSecurityConfigurerAdapter配置类中或者使用@Configuration和@Bean注解的方式注册。

import org.springframework.boot.web.servlet.FilterRegistrationBean;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;

@Configuration
public class WebConfig {

    @Bean
    public FilterRegistrationBean<XssFilter> xssFilterRegistration() {
        FilterRegistrationBean<XssFilter> registration = new FilterRegistrationBean<>();
        registration.setFilter(new XssFilter());
        registration.addUrlPatterns("/*");
        return registration;
    }
}

4. 使用注解

在控制器中，你可以使用@Xss或类似的安全注解（如果使用了安全框架，比如Shiro或Spring Security）来标记需要清理的参数。

import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.RequestParam;

@Controller
public class MyController {

    @GetMapping("/safe-endpoint")
    public String safeEndpoint(@RequestParam(value = "paramName") String paramName) {
        // 参数已经被清理，安全使用
        return "Your data is: " + paramName;
    }
}

5. 测试和验证

在完成上述步骤后，你应该对应用进行彻底的测试，确保XSS防护措施有效，同时也要检查是否有误报或影响到合法的功能。

注意事项

• 确保清理机制不会影响到合法的HTML或JavaScript代码，如果应用中使用了富文本编辑器等特性。
• 定期更新和检查你的依赖库，确保它们是最新的，以避免潜在的安全漏洞。
• 考虑结合使用HTTP头策略，如Content Security Policy（CSP），来进一步加固你的应用。